GlassWorm: Malware Ekstensi VS Code dan Open VSX

GlassWorm adalah kampanye malware yang dijuluki worm karena menyebar lewat ekstensi VS Code di marketplace Open VSX, dan pertama kali diungkap pada Oktober 2025. Malware ini menyembunyikan kodenya dengan karakter Unicode tak kasatmata, mencuri kredensial pengembang, lalu kredensial itu dipakai untuk menerbitkan ekstensi berbahaya lain. Artikel ini menjelaskan cara kerjanya secara konseptual dan langkah hygiene ekstensi bagi developer.

Apa Itu GlassWorm dan Mengapa Ekstensi Editor Berisiko

Ekstensi editor kode berjalan dengan hak akses penuh milik pengguna: ia dapat membaca berkas proyek, menjalankan proses, dan membuka koneksi jaringan. Ekstensi juga biasanya diperbarui otomatis, sehingga satu versi berbahaya dapat sampai ke banyak mesin developer tanpa ada yang memintanya. Di sinilah GlassWorm bermain, dan polanya mirip dengan worm paket npm yang kami bahas di artikel Shai-Hulud: kredensial yang dicuri dari satu korban dipakai untuk menyusupi pekerjaan korban itu, lalu menyebar lebih jauh.

Kampanye ini diungkap peneliti Koi Security, seperti dilaporkan BleepingComputer. Truesec menyebutnya worm pertama yang menyebar sendiri lewat ekstensi VS Code di Open VSX. Namun Eclipse Foundation, pengelola Open VSX, menyatakan GlassWorm bukan worm yang mereplikasi diri dalam arti tradisional, melainkan malware yang mencuri kredensial developer; menurut Eclipse, akar masalahnya adalah token publikasi yang tanpa sengaja terekspos oleh developer di repositori publik, bukan kompromi infrastruktur Open VSX. Open VSX sendiri adalah registry ekstensi terbuka yang dipakai banyak editor berbasis VS Code di luar marketplace resmi Microsoft.

Kronologi GlassWorm 2025 sampai 2026

• 17 Oktober 2025: menurut Koi Security, tujuh ekstensi Open VSX terkompromi. Peneliti memperkirakan sekitar 35.800 instalasi, tetapi Eclipse Foundation menilai angka itu melebih-lebihkan jumlah pengguna terdampak karena mencakup unduhan bot dan taktik penggelembungan popularitas.
• Dua hari kemudian: sepuluh ekstensi masih menyebarkan malware.
• 19 Oktober 2025: sebuah ekstensi terinfeksi terdeteksi di Microsoft VS Code Marketplace; menurut BleepingComputer, Microsoft menghapusnya setelah diberi tahu peneliti.
• 21 Oktober 2025: tim Open VSX menyatakan semua ekstensi berbahaya yang diketahui telah dihapus, token terkait dirotasi atau dicabut, dan insiden dianggap tertangani.
• 30 Januari 2026: menurut BleepingComputer, empat ekstensi milik seorang developer sah, yang sebelumnya aman selama dua tahun, menerima pembaruan berbahaya; Socket menduga akunnya dikompromikan operator GlassWorm. Eclipse Foundation mengonfirmasi akses publikasi tidak sah, mencabut token, dan menghapus rilis tersebut.
• 27 April 2026: Socket melaporkan 73 ekstensi "sleeper" di Open VSX yang meniru listing sah, awalnya jinak lalu mengirim payload lewat pembaruan; enam di antaranya sudah aktif.
• 26 Mei 2026: CrowdStrike, Google, dan The Shadowserver Foundation memutus empat kanal komando GlassWorm secara bersamaan, menurut BleepingComputer.

Jumlah ekstensi berbeda antar laporan karena infeksi bertambah dalam beberapa hari; BleepingComputer mencatat sedikitnya sebelas di Open VSX dan satu di Marketplace pada gelombang pertama. Setelah insiden itu, Open VSX mengumumkan prefiks token yang mudah dipindai, masa berlaku token default yang lebih pendek, dan pemindaian otomatis saat ekstensi diterbitkan.

Cara Kerja GlassWorm: Penyamaran dan Komando

Ada tiga ciri teknis yang membuat GlassWorm menarik bagi tim keamanan, dan semuanya dapat dijelaskan tanpa membagikan detail yang membantu peniru.

• Kode tak terlihat. Kode berbahaya disembunyikan dengan karakter Unicode yang tidak tampil di editor, sehingga review manual dan tampilan diff biasa tidak menunjukkan apa pun yang mencurigakan.
• Komando berlapis. Menurut Truesec, malware memakai blockchain Solana sebagai kanal komando utama, dengan koneksi IP langsung dan Google Calendar sebagai cadangan. Pemakaian blockchain membuat takedown infrastruktur jauh lebih sulit, dan itulah sebabnya operasi Mei 2026 harus memutus semua kanal sekaligus.
• Pencurian dan penyebaran. Menurut Truesec dan BleepingComputer, malware memanen kredensial npm, GitHub, Git, dan Open VSX, lalu kredensial itu dipakai untuk menerbitkan paket dan ekstensi berbahaya lain. Ia juga menargetkan 49 ekstensi dompet kripto, memasang proxy SOCKS yang mengubah mesin developer menjadi simpul relay, serta VNC tersembunyi untuk akses jarak jauh.

Dampaknya melampaui satu laptop. Kredensial developer sering memberi akses ke repositori, pipeline CI, dan registry, jadi infeksi di editor dapat menjadi awal dari insiden rantai pasok yang lebih besar.

Hygiene Ekstensi VS Code untuk Developer dan Tim

Rekomendasi Truesec dan praktik umum yang selaras dengannya dapat diringkas sebagai berikut.

1. Buat inventaris ekstensi. Catat ekstensi apa saja, versi, dan penerbitnya di tiap mesin developer. Anda tidak bisa melindungi apa yang tidak Anda ketahui.
2. Terapkan allowlist. Untuk organisasi, izinkan hanya ekstensi yang sudah ditinjau. Tindakan ini paling efektif menutup risiko ekstensi baru yang tidak dikenal.
3. Kurangi ekstensi. Pasang yang benar-benar dibutuhkan dan hapus yang sudah tidak dipakai. Setiap ekstensi adalah tambahan permukaan serangan.
4. Hati-hati dengan pembaruan otomatis. Pertimbangkan menonaktifkannya untuk ekstensi sensitif, atau tunda adopsi versi baru beberapa hari agar komunitas sempat menemukan masalah.
5. Evaluasi sebelum memasang. Periksa reputasi penerbit, riwayat versi, ulasan, dan apakah ekstensi tiba-tiba meminta kemampuan baru.
6. Pindai kode ekstensi, termasuk karakter Unicode tersembunyi. Alat pemindai yang menandai karakter tak terlihat membantu menutup celah yang tidak bisa dilihat mata.
7. Pantau perilaku. Waspadai koneksi keluar yang tidak biasa dari mesin developer, layanan VNC atau SOCKS yang tidak Anda pasang, dan penggunaan API yang janggal oleh ekstensi.

Untuk tim yang lebih besar, tetapkan siapa yang berwenang menyetujui ekstensi baru, catat alasannya, dan tinjau daftar itu secara berkala, misalnya tiap kuartal. Pisahkan juga lingkungan percobaan dari lingkungan kerja: coba ekstensi baru di profil editor terpisah atau mesin virtual, bukan di mesin yang menyimpan token publikasi. Aktifkan 2FA tahan phishing pada akun GitHub dan npm agar token curian saja tidak cukup untuk mengambil alih akun.

Jika Anda curiga pernah memasang ekstensi yang terdampak, anggap kredensial pada mesin itu terpapar. Cabut dan ganti token npm, GitHub, dan Git, periksa aktivitas tak dikenal pada akun, dan ikuti prosedur dalam panduan incident response. Prinsip hak akses minimal dalam artikel CIA Triad dan least privilege juga berlaku: token developer sebaiknya hanya punya cakupan yang benar-benar diperlukan.

Relevansi untuk Developer di Indonesia

Banyak tim di Indonesia memakai VS Code dan turunannya, termasuk varian editor yang mengandalkan Open VSX, serta bekerja dengan repositori dan akun cloud perusahaan dari laptop yang sama. Risiko juga mengarah ke sisi kripto: ekstensi dompet menjadi target eksplisit. Untuk lingkungan yang lebih baru, editor berbantuan AI memperluas permukaan ini, seperti diulas di artikel IDEsaster. Perlakukan editor sebagai bagian dari rantai pasok perangkat lunak, bukan sekadar alat pribadi.

Pertanyaan yang Sering Diajukan

Apakah GlassWorm hanya menyerang pengguna Open VSX?

Menurut Truesec, kasus awalnya terkonsentrasi di Open VSX, tetapi sebuah ekstensi di Microsoft VS Code Marketplace juga dilaporkan terinfeksi. Jangan menganggap satu marketplace otomatis aman.

Mengapa kode berbahayanya tidak terlihat saat saya membuka berkas?

Penyerang memakai karakter Unicode yang tidak ditampilkan editor. Teks tampak kosong atau normal, tetapi tetap dieksekusi. Karena itu pemindaian otomatis untuk karakter tak terlihat penting.

Apa langkah pertama jika saya merasa terdampak?

Putuskan mesin dari jaringan bila perlu, ganti semua token dan kredensial yang pernah ada di mesin tersebut dari perangkat yang bersih, lalu periksa riwayat aktivitas akun GitHub, npm, dan cloud Anda.

Kesimpulan

GlassWorm membuktikan bahwa editor dan ekstensinya adalah bagian dari rantai pasok. Inventaris, allowlist, pembatasan pembaruan otomatis, dan rotasi kredensial adalah langkah yang realistis untuk dimulai minggu ini. Jika Anda ingin tim developer memahami ancaman semacam ini secara praktis dan legal, jelajahi kursus keamanan dari Linuxhackingid.