Glass Worm : le ver invisible qui infecte la chaîne d’approvisionnement

Ces extensions usurpent l’identité de frameworks connus comme Flutter, React, Tailwind, Vim ou Vue. Signalé pour la première fois en octobre, ce malware utilise la blockchain Solana pour ses communications et vole les identifiants des développeurs (npm, GitHub, etc.), ainsi que les cryptomonnaies, avant d’infecter la machine.

Un ver qui se propage de lui-même

Une fois installé, Glass Worm vole vos identifiants (mots de passe, jetons, cookies) et utilise vos comptes pour compromettre d’autres packages ou extensions, créant ainsi une chaîne de contamination automatique. C’est ce qui en fait un véritable ver informatique.

L’astuce de l’invisibilité

La particularité de Glass Worm réside dans son invisibilité. Il utilise des caractères Unicode invisibles (espaces sans largeur, caractères de contrôle) pour cacher son code malveillant dans ce qui semble être des espaces blancs.

Lorsqu’un analyste ouvre l’une de ces extensions, il ne voit que du texte normal, avec de grands espaces vides entre les lignes. En réalité, ces espaces contiennent le code malveillant, rendu invisible à l’œil nu.

Une technique ancienne, mais utilisée de façon nouvelle

La technique n’est pas nouvelle : c’est une forme de stéganographie par espace blanc, où des caractères invisibles encodent des instructions binaires. Mais son application dans une campagne de grande ampleur visant la chaîne d’approvisionnement logicielle est inédite.

Les chercheurs s’interrogent : comment exactement les attaquants procèdent-ils ? Et cette technique est-elle déjà discutée sur les forums clandestins ?

Les rapports de sécurité qui en parlent

Début 2025, Juniper Threat Labs documentait déjà une technique d’obfuscation JavaScript utilisant des caractères invisibles (projet « Invisible.js »). Le principe : un petit code « bootstrap » de 116 octets charge et décode un script caché dans des caractères Unicode spéciaux, puis l’exécute.

Ce mécanisme est similaire à celui employé par Glass Worm. Les attaquants utilisent notamment les plages de caractères dites Private Use Area (PUA) d’Unicode, qui ne sont pas affichés à l’écran.

Une menace qui s’étend

Depuis, plusieurs acteurs de la sécurité suivent cette menace :

• Koi Security l’a baptisée « Glass Worm ».
• Akamai a repéré des injections similaires dans des dépôts GitHub.
• Secure Annex les a observées sur le marketplace Visual Studio.

La chronologie montre une accélération : repérage dans les packages npm en mars, puis dans GitHub en octobre, et enfin dans les extensions VS Code.

Une technique aux implications larges

Cette méthode ne sert pas qu’aux malwares. Elle est aussi exploitée dans des campagnes de phishing par e-mail, où des caractères invisibles brisent les mots dans l’objet ou le corps du message, pour contourner les filtres anti-spam sans que l’utilisateur ne s’en aperçoive.

La leçon est claire : les menaces les plus sournoises exploitent souvent ce qui est invisible. Pour les développeurs et les entreprises, la vigilance passe désormais par des outils capables de détecter ces artefacts Unicode dans le code, les e-mails et les dépôts.

Des possibilités d’infection multiples et discrètes

Les caractères invisibles peuvent être placés dans n’importe quel fichier texte, y compris ceux que personne n’ouvre jamais : un fichier de licence, une bibliothèque JavaScript minifiée comme jQuery, ou même un simple fichier de configuration. Le code malveillant reste caché jusqu’à ce qu’un petit programme « déclencheur » le charge et l’exécute.

Dans ces e-mails, des caractères Unicode invisibles sont insérés entre les mots de l’objet ou du corps. Pour l’utilisateur, le message semble normal. Mais pour les filtres anti-spam qui analysent les chaînes de caractères, le texte est fragmenté et peut échapper aux signatures de détection.

Comment contourner les filtres avec l’invisible

Un e-mail d’avertissement de « réinitialisation de mot de passe » pourrait avoir son objet cassé par des centaines de caractères de largeur nulle. Visuellement, tout paraît cohérent. Techniquement, la chaîne de caractères est méconnaissable pour un système automatisé, ce qui permet à l’e-mail d’atteindre la boîte de réception.

Une technique simple, une menace persistante

Le principe est finalement simple : un caractère invisible représente un 0 binaire, un autre représente un 1. Une longue suite de ces caractères forme, une fois décodée, des instructions exécutables. Cette stéganographie numérique rudimentaire s’avère d’une efficacité redoutable.

Les possibilités de dissimulation sont vastes :

• Dans l’indentation d’un code Python ou JavaScript.
• Au début ou à la fin d’un fichier.
• Au sein de commentaires.
• Dans des métadonnées ou des chaînes de caractères inoffensives.

Sans un éditeur de texte ou un outil de versioning (comme GitHub) qui signale la présence de caractères Unicode « bizarres », cette menace peut passer inaperçue indéfiniment.

Conclusion : la vigilance passe par les outils

Glass Worm et les techniques similaires rappellent que les attaques les plus efficaces exploitent souvent les angles morts de notre perception et de nos automatismes. Pour les développeurs et les équipes de sécurité, la réponse implique :

1. D’adopter des éditeurs de code et des systèmes de contrôle de version qui mettent en évidence les caractères inhabituels.
2. D’intégrer des scans spécifiques recherchant ces artefacts invisibles dans les pipelines CI/CD.
3. De sensibiliser les équipes à cette menace sournoise, qui se cache littéralement là où on ne regarde pas.

La simplicité de la méthode (cacher du code dans ce qui n’est pas vu) en fait une tendance inquiétante dans le paysage des cybermenaces.