CrowdStrike, Google y la Shadowserver Foundation desmantelaron la botnet Glassworm, un gusano que robaba credenciales y atacaba a desarrolladores mediante paquetes de software maliciosos. El operativo neutralizó simultáneamente cuatro canales de control complejos que incluían el uso de blockchain y Google Calendar. Esta acción surge en medio de un aumento de ataques a la cadena de suministro dirigidos específicamente a quienes crean el software.




CrowdStrike, trabajando con Google y la Shadowserver Foundation, afirmó haber desmantelado la botnet Glassworm, un gusano de autopropagación y robo de credenciales que ha tenido como objetivo a los desarrolladores y se ha propagado a través de paquetes de software envenenados desde principios de 2025.

El equipo de Operaciones Contra Adversarios del gigante de la seguridad de endpoints y sus socios atacaron simultáneamente los cuatro canales de comando y control de Glassworm enlace a las 14:00 UTC del martes, "separando a los operadores de sus máquinas infectadas y su capacidad de entregar nuevas cargas maliciosas", según el blog de CrowdStrike.

John Hultquist, analista jefe del Grupo de Inteligencia de Amenazas de Google, confirmó la implicación de su empresa en una publicación en redes sociales. "Como parte de nuestros esfuerzos de interrupción, estamos trabajando con socios para causar más daño a los atacantes, especialmente cuando los vemos abusando de nuestros productos o atacando a nuestros usuarios", escribió Hultquist enlace.

Un portavoz declinó proporcionar detalles adicionales sobre el papel de Google en el desmantelamiento.

La interrupción se produce mientras otro gusano autoreplicante, Mini Shai-Hulud, arrasa el código de fuente abierta y malhechores envenenan repositorios de GitHub y paquetes npm en ataques similares de la cadena de suministro que también afectan a los entornos de los desarrolladores.

"Glassworm marcó un cambio significativo en el panorama de las amenazas que debería servir como llamada de atención para toda organización que envíe o consuma software", escribió CrowdStrike. "Los adversarios ya no solo atacan los productos, están atacando a los desarrolladores que los crean".

Estamos trabajando con socios para causar más daño a los atacantes, especialmente cuando los vemos abusando de nuestros productos o atacando a nuestros usuarios

Detectado inicialmente enlace por la firma de seguridad de endpoints Koi en octubre de 2025, Glassworm utilizó inyección de código invisible basado en Unicode, infraestructura C2 basada en blockchain y Google Calendar como servidor de comandos de respaldo para convertir las máquinas de desarrolladores infectadas en nodos proxy criminales. Este gusano autoreplicante tuvo como objetivo inicialmente las extensiones de VS Code en el mercado OpenVSX antes de pasar a los paquetes npm y Python, y posteriormente envenenó más de 300 repositorios de GitHub utilizando credenciales robadas recolectadas en infecciones anteriores de Glassworm.

Este gusano apareció aproximadamente un mes después de que otra cepa de malware autopropagable, Shai Hulud, se filtrara primero a través de paquetes npm enlace, incluidos los mantenidos por CrowdStrike. Glassworm infectó todas las plataformas —incluidos los sistemas Windows, macOS y Linux— robando credenciales y otra información sensible, y también generó su propia herramienta de acceso remoto de Node.js llamada GlasswormRAT.

Arquitectura c2 diseñada para resistir desmantelamientos

La infraestructura C2 de Glassworm utilizó cuatro canales distintos para complicar los esfuerzos de desmantelamiento. Estos incluyeron la blockchain de Solana, con direcciones de servidor C2 codificadas en los campos de memo de las transacciones de blockchain, asegurando que el C2 no pudiera ser desconectado por medios convencionales. También utilizó títulos de eventos de Google Calendar como ubicaciones de entrega para rutas C2 codificadas en Base64.

El GlasswormRAT utilizó una Tabla de Hash Distribuida (DHT) descentralizada de BitTorrent para los datos de configuración almacenados contra claves públicas predefinidas.

Y finalmente, Glassworm dependía de servidores C2 tradicionales, alojados en proveedores de VPS comerciales, como el mecanismo final de entrega de la carga útil.

Interrumpir los cuatro canales "requirió precisión y sincronización", según CrowdStrike. "Desmantelar solo un canal habría dejado los otros operativos, permitiendo que los operadores se reconstituyeran rápidamente".

Todas las máquinas infectadas con Glassworm ahora envían señales a la dirección IP benigna operada por CrowdStrike 164.92.88[.]210. La firma de seguridad insta a las organizaciones a revisar los registros de red y la telemetría de los endpoints en busca de conexiones a esta dirección, lo que indicaría una infección por Glassworm.

Fuente:
TheRegister