Crowdstrike heeft samen met Google een Glassworm-botnet neergehaald dat ontwikkelaars in het vizier had.
Beveiligingsbedrijf CrowdStrike heeft samen met Google en de Shadowserver Foundation het Glassworm-botnet ontmanteld. De malware verspreidde zich sinds begin 2025 via geïnfecteerde softwarepakketten en richtte zich specifiek op ontwikkelaars.
Volgens CrowdStrike werden dinsdag alle vier de kanalen van het botnet gelijktijdig uitgeschakeld. Zo verloren de aanvallers de controle over besmette systemen en konden ze geen nieuwe malware meer verspreiden.
Worm verspreidde zich via software
Glassworm werd voor het eerst ontdekt in oktober 2025 en onderscheidde zich door zijn geavanceerde verspreidingsmethodes. De malware besmette extensies voor Visual Studio Code op OpenVSX, en er werden npm- en Python-pakketten werden misbruikt.
Met gestolen logingegevens kon Glassworm meer dan 300 GitHub-repositories compromitteren. De worm werkte op Windows, macOS en Linux en installeerde daarnaast een eigen remote access tool genaamd GlasswormRAT.
De malware stal wachtwoorden, API-sleutels en andere gevoelige gegevens. Besmette systemen konden bovendien worden ingezet als proxyservers voor criminele activiteiten.
Blockchain en Google Calendar
Glassworm gebruikte commandoservers die deels verborgen waren via de Solana-blockchain, en Google Calendar werd gebruikt als locatie voor gecodeerde instructies.
Daarnaast maakte de malware gebruik van een gedecentraliseerd BitTorrent Distributed Hash Table (DHT)-netwerk en traditionele VPS-servers voor het verspreiden van extra malware. Volgens CrowdStrike moest de volledige infrastructuur tegelijk worden uitgeschakeld om te voorkomen dat de aanvallers snel opnieuw operationeel zouden worden. Alle systemen die nog met Glassworm besmet zijn, verbinden nu automatisch met een onschadelijk IP-adres dat door CrowdStrike wordt beheerd. Bedrijven krijgen het advies om netwerk- en endpointlogs te controleren op verbindingen met dit adres