OpenVSX نیٹ ورک میں کرپٹو کرنسی ہولڈرز کو ایک بڑھتے ہوئے خطرے کا سامنا ہے کیونکہ بدنیتی پر مبنی اداکار ڈیجیٹل اثاثوں کو لوٹنے پر اپنی نگاہیں جما رہے ہیں۔

GlassWorm، ایک معروف میلویئر، نے OpenVSX کی رجسٹری میں 73 نقصان دہ ایکسٹینشنز ڈالی ہیں۔ ہیکرز اسے ڈویلپرز کے کرپٹو بٹوے اور دیگر ڈیٹا چوری کرنے کے لیے استعمال کرتے ہیں۔

سیکیورٹی محققین نے پایا کہ چھ ایکسٹینشن پہلے ہی فعال پے لوڈز میں بدل چکے ہیں۔ ایکسٹینشنز کو معروف فہرستوں کی جعلی کاپیوں کے طور پر اپ لوڈ کیا گیا تھا جو نقصان دہ نہیں تھیں۔ ساکٹ کی ایک رپورٹ کے مطابق، برا کوڈ بعد میں اپ ڈیٹ میں آتا ہے۔

GlassWorm میلویئر کرپٹو devs پر حملہ کرتا ہے۔

اکتوبر 2025 میں، گلاس ورم پہلی بار نمودار ہوا۔ اس نے کوڈ کو چھپانے کے لیے غیر مرئی یونیکوڈ حروف کا استعمال کیا جس کا مقصد کرپٹو والیٹ ڈیٹا اور ڈویلپر کی اسناد چوری کرنا تھا۔ اس کے بعد سے یہ مہم npm پیکجز، GitHub repositories، Visual Studio Code Marketplace، اور OpenVSX تک پھیل گئی ہے۔

مارچ 2026 کے وسط میں ایک لہر نے سینکڑوں ذخیروں اور درجنوں ایکسٹینشنز کو نشانہ بنایا، لیکن اس کے سائز نے لوگوں کی توجہ حاصل کی۔ کئی تحقیقی گروپوں نے اس سرگرمی کو ابتدائی طور پر دیکھا اور اسے روکنے میں مدد کی۔

ایسا لگتا ہے کہ حملہ آوروں نے اپنا انداز بدل لیا ہے۔ تازہ ترین بیچ ابھی میلویئر کو سرایت نہیں کرتا ہے۔ اس کے بجائے، یہ تاخیر سے چلنے والا ایکٹیویشن ماڈل استعمال کرتا ہے۔ یہ ایک کلین ایکسٹینشن بھیجتا ہے، انسٹال بیس بناتا ہے، اور پھر برا اپ ڈیٹ بھیجتا ہے۔

ساکٹ محققین نے کہا کہ "کلون شدہ یا نقالی کرنے والی ایکسٹینشنز پہلے بغیر کسی واضح پے لوڈ کے شائع کی جاتی ہیں، پھر بعد میں مالویئر فراہم کرنے کے لیے اپ ڈیٹ کی جاتی ہیں،" ساکٹ محققین نے کہا۔

سیکیورٹی محققین نے 73 ایکسٹینشنز میں بدنیتی پر مبنی کوڈ فراہم کرنے کے تین طریقے تلاش کیے۔ ایک طریقہ یہ ہے کہ جب پروگرام چل رہا ہو تو GitHub سے دوسرا VSIX پیکیج استعمال کریں اور CLI کمانڈز کا استعمال کرتے ہوئے اسے انسٹال کریں۔ ایک اور طریقہ پلیٹ فارم کے لیے مخصوص مرتب کردہ ماڈیولز کو لوڈ کرتا ہے جیسے کہ [.]نوڈ فائلیں جن میں بنیادی منطق ہوتی ہے، بشمول مزید پے لوڈ حاصل کرنے کے معمولات۔

تیسرا طریقہ بہت زیادہ مبہم JavaScript کا استعمال کرتا ہے جو نقصان دہ ایکسٹینشنز کو ڈاؤن لوڈ اور انسٹال کرنے کے لیے رن ٹائم پر ڈی کوڈ کرتا ہے۔ پے لوڈ حاصل کرنے کے لیے اس میں انکرپٹڈ یا فال بیک یو آر ایل بھی ہیں۔

ایکسٹینشنز حقیقی فہرستوں کی طرح نظر آتی ہیں۔

ایک معاملے میں، حملہ آور نے حقیقی ایکسٹینشن کے آئیکن کو کاپی کیا اور اسے ایک نام اور تفصیل دی جو تقریباً ایک جیسی تھی۔ پبلشر کا نام اور منفرد شناخت کنندہ وہی ہیں جو انہیں الگ کرتے ہیں، لیکن زیادہ تر ڈویلپر انسٹال کرنے سے پہلے ان چیزوں کو قریب سے نہیں دیکھتے ہیں۔

GlassWorm کو رسائی ٹوکنز، کرپٹو والیٹ ڈیٹا، SSH کیز، اور ڈویلپر ماحول کے بارے میں معلومات کے بعد بنایا گیا ہے۔

کرپٹو بٹوے ہیکرز کے مسلسل حملوں کی زد میں ہیں۔

خطرہ صرف کرپٹو بٹوے سے آگے ہے۔ ایک مختلف لیکن متعلقہ واقعہ یہ ظاہر کرتا ہے کہ سپلائی چین کے حملے devs انفراسٹرکچر کے ذریعے کیسے پھیل سکتے ہیں۔

22 اپریل کو، npm رجسٹری نے Bitwarden's CLI کے ایک خراب ورژن کی میزبانی 93 منٹ کے لیے آفیشل پیکیج کے نام @bitwarden/cli@2026.4.0 کے تحت کی۔ JFrog، ایک سیکیورٹی کمپنی نے پایا کہ پے لوڈ نے GitHub ٹوکن، npm ٹوکن، SSH کیز، AWS اور Azure کی اسناد، اور GitHub ایکشنز کے راز چرا لیے ہیں۔

JFrog کے تجزیے سے پتا چلا ہے کہ ہیک شدہ پیکج نے انسٹال ہک اور بائنری انٹری پوائنٹ میں ترمیم کی ہے تاکہ بن رن ٹائم کو لوڈ کیا جا سکے اور انسٹالیشن کے دوران اور چلتے وقت ایک غیر واضح پے لوڈ چلایا جا سکے۔

کمپنی کے اپنے ریکارڈ کے مطابق، Bitwarden کے 50,000 سے زیادہ کاروبار اور 10 ملین صارفین ہیں۔ ساکٹ نے اس حملے کو چیک مارکس کے محققین کے ذریعہ ٹریک کردہ ایک بڑی مہم سے جوڑ دیا، اور بٹ وارڈن نے اس تعلق کی تصدیق کی۔

مسئلہ اس بات پر منحصر ہے کہ این پی ایم اور دیگر رجسٹریاں کیسے کام کرتی ہیں۔ حملہ آور پیکج کے شائع ہونے اور اس کے مواد کی جانچ پڑتال کے درمیان کے وقت کا فائدہ اٹھاتے ہیں۔

سوناٹائپ کو 2025 میں رجسٹریوں کو متاثر کرنے والے تقریباً 454,600 نئے نقصان دہ پیکجز ملے۔ کرپٹو کسٹڈی، ڈی فائی، اور ٹوکن لانچ پیڈز تک رسائی حاصل کرنے کی کوشش کرنے والے خطرناک اداکاروں نے رجسٹریوں کو نشانہ بنانا اور بدنیتی پر مبنی ورک فلو کو جاری کرنا شروع کر دیا ہے۔

ڈویلپرز کے لیے جنہوں نے 73 پرچم والے اوپن وی ایس ایکس ایکسٹینشنز میں سے کوئی بھی انسٹال کیا ہے، ساکٹ تمام رازوں کو گھمانے اور اپنے ترقیاتی ماحول کو صاف کرنے کی تجویز کرتا ہے۔

دیکھنے کے لیے اگلی چیز یہ ہے کہ کیا آنے والے دنوں میں باقی 67 غیر فعال ایکسٹینشنز ایکٹیو ہوتی ہیں، اور کیا OpenVSX ایکسٹینشن اپ ڈیٹس کے لیے اضافی جائزہ کنٹرولز کو لاگو کرتا ہے۔