隱形 Unicode 供應鏈攻擊 GitHub

🔑 增強重點摘要

• •Glassworm 使用私有使用區域 (PUA) Unicode 字符範圍 U+FE00–U+FE0F 和 U+E0100–U+E01EF，這些字符在所有主要代碼編輯器、終端和 GitHub 代碼審查界面中完全不可見[1][2]
• •攻擊者利用大型語言模型生成風格一致的掩護提交，包括文檔調整、版本更新和小型重構，使惡意注入難以通過人工代碼審查檢測[1][2]
• •Glassworm 使用 Solana 區塊鏈作為命令與控制 (C2) 交付通道，而非傳統 C2 服務器，代表供應鏈攻擊基礎設施的範式轉變[1]
• •該蠕蟲通過竊取 NPM、GitHub 和 OpenVSX 認證令牌進行自我傳播，並針對 49 種不同的加密貨幣錢包擴展進行攻擊[4][5]
• •2026 年 3 月 3-9 日期間，Glassworm 在單一協調活動中入侵了 150+ 個 GitHub 儲存庫、多個 npm 套件和 VS Code 擴展[1][2]

🛠️ 技術深入

• •隱形 Unicode 編碼機制：攻擊者使用 Unicode 變體選擇器（Variation Selectors）和私有使用區域代碼點，將惡意代碼映射到字節並重構為 Base64 blob，解碼後產生可執行的 JavaScript[3]
• •有效負載傳遞：使用 AES-256-CBC 加密，密鑰通過 HTTP 響應頭傳遞；解碼後的有效負載執行憑證收集、加密錢包竊取和 SOCKS 代理部署[5]
• •自我傳播機制：蠕蟲竊取開發者環境中的 NPM、GitHub、Git 和 OpenVSX 認證令牌，自動入侵受害者維護的其他套件和擴展，實現指數級增長[4][5]
• •Solana 基礎設施：使用 Solana 帳戶作為 C2 通道而非傳統服務器，提高檢測難度並利用區塊鏈的去中心化特性[1]
• •隱藏遠程訪問：在受感染系統上部署隱藏的 VNC 服務器，將開發者機器轉變為犯罪基礎設施[4]

🔮 前景展望基於引用來源的 AI 分析

⏳ 時間線