GlassWASM: novo malware em WebAssembly ataca extensões do Open VSX com C2 dinâmico via Solana

O GlassWASM não é um novo ator, é uma mutação tática do GlassWorm, que voltou à ativa menos de três semanas após sua suposta desativação. Enquanto a operação anterior dependia de extensões maliciosas com scripts JavaScript ofuscados e C2 centralizado (derrubado em 30/05), o GlassWASM elimina o ponto fraco: agora o estágio inicial é um módulo WebAssembly compilado com TinyGo, sem strings legíveis, sem URLs, sem chamadas de rede nativas, só lógica criptografada e uma ponte para JavaScript via syscall/js. Isso escapa de scanners de código-fonte, YARA baseado em texto e até de muitos EDRs que não inspecionam memória pós-descriptografia.

A inovação real está na cadeia de evasão: ChaCha20 embutido + execução em runtime + resolução de C2 via SPL Memo na Solana mainnet. O operador não precisa manter servidores ativos, basta assinar uma transação com novo domínio no campo Memo. O payload nunca toca disco, nunca carrega bibliotecas externas e se esconde atrás da legitimidade do ambiente Node.js dentro do VS Code. É um ataque de supply chain feito para passar por 'extensão inofensiva' até o momento exato em que o usuário abre o editor, e então, silenciosamente, liga-se à blockchain para receber ordens.

A GlassWorm foi declarada desativada em 30/05, mas o GlassWASM, publicado em 09/06 e confirmado em 15/06, mostra que a infraestrutura de comando não foi destruída, apenas reescrita. Antes, o C2 usava domínios controlados (como dodod.lat já aparecia em março) e APIs HTTP diretas. Agora, o único ponto fixo é uma carteira Solana (6ExrZayPZzMMSnszc42cH81DpuKT8FhCX9H6Sesn6rpz), que não pode ser bloqueada sem afetar tráfego legítimo. Também mudou a entrega: antes, o malware rodava como script JS com obfuscação pesada; agora, ele é um binário WASM com 478 funções, símbolos removidos e lógica totalmente isolada, exigindo análise dinâmica com wasm2c e sandboxing para extração de IOCs.

Desenvolvedores não são alvos secundários: são o vetor principal. O GlassWASM explora a confiança cega em extensões com nomes idênticos às originais do VS Code Marketplace, e isso funciona porque ferramentas como VSCodium e Cursor usam o Open VSX como repositório padrão, sem verificação cruzada de assinatura ou publisher ID. Um único clique em 'instalar' aciona uma cadeia que transforma o editor em um agente de execução remota, com acesso total ao sistema via child_process. Para empresas, isso significa que políticas de segurança que focam só em npm ou GitHub estão cegas para ameaças que entram pelo ecossistema de IDEs, e que podem roubar tokens de CI/CD, chaves SSH, credenciais de nuvem e carteiras de cripto em segundos.