Seit Anfang 2025 aktiv, war Glassworm kein typisches Botnetz, das auf Geräte von Privatanwendern aus war. Es hatte es gezielt auf Softwareentwickler abgesehen und missbrauchte die Werkzeuge, denen diese vertrauen. Die Angreifer vergifteten über 300 GitHub-Repositories, manipulierten Erweiterungen für Visual Studio Code und kompromittierten Pakete auf den Paketregistern npm und Python Package Index (PyPI) . Dieser Lieferketten-Ansatz verlieh der Schadsoftware eine Präsenz auf Windows-, macOS- und Linux-Systemen. Die finale Schadnutzlast war GlasswormRAT, ein in Node.js geschriebenes Remote-Access-Tool, das Zugangsdaten abgreifen, Tastatureingaben aufzeichnen und Daten exfiltrieren konnte. So wurde der Rechner eines Entwicklers zur Startrampe für weitere, nachgelagerte Kompromittierungen .

Die vierköpfige Command-and-Control-Architektur

Was Glassworm seine einzigartige Widerstandsfähigkeit verlieh, war seine mehrkanalige Command-and-Control-Infrastruktur (C2). Die Betreiber vermieden gezielt einzelne Schwachstellen, indem sie die Kommunikation über vier unterschiedliche, redundante Kanäle leiteten .

1. Transaktionen auf der Solana-Blockchain: Das Botnetz nutzte die öffentliche Solana-Blockchain als verdecktes Relais. Ein Ansatz, der eine Zensur oder Abschaltung extrem erschwert, da das Hauptbuch dezentral und unveränderlich ist .
2. BitTorrent Distributed Hash Table (DHT): Der Einsatz eines Peer-to-Peer-Filesharing-Netzwerks bot einen weiteren dezentralen und höchst robusten Kommunikationsweg .
3. Google Kalender als 'Toter Briefkasten': Die Angreifer verwendeten die Titel von Google-Kalender-Einträgen als versteckte Nachrichten, um neue Befehle zu übermitteln. So tarnten sie den schädlichen Datenverkehr in einem legitimen und weit verbreiteten Webdienst .
4. Konventionelle VPS-Server: Neben den neuartigen Methoden betrieben die Angreifer auch Infrastruktur auf kommerziellen virtuellen privaten Servern – eine konventionellere, aber dennoch wesentliche Komponente .

Diese mehrschichtige Architektur war der Kern der „Unzerstörbarkeit" des Botnetzes. Hätte man nur einen oder zwei Kanäle lahmgelegt, wären die anderen voll funktionsfähig geblieben, und die Betreiber hätten ihre Kontrolle schnell wiederherstellen können .

Die Strategie des koordinierten Schlags

Der einzig gangbare Weg zur Zerstörung war ein gleichzeitiger Schlag gegen alle vier C2-Kanäle. CrowdStrike beschrieb die Herausforderung nüchtern: „Die Zerschlagung dieser Architektur erforderte Präzision und Timing. Nur einen Kanal lahmzulegen, hätte die anderen weiterhin einsatzfähig gelassen, sodass die Betreiber sie schnell hätten wiederherstellen können" .

Am 26. Mai um 14:00 Uhr UTC führte die Koalition eine präzise koordinierte Aktion aus, die die Verbindung zwischen den Botnetz-Betreibern und ihrem globalen Netzwerk infizierter Maschinen kappte . Dadurch wurde die GlasswormRAT-Malware nicht automatisch von den kompromittierten Systemen entfernt, aber es blockierte die Fähigkeit der Angreifer, neue Befehle zu erteilen oder frische Schadcode-Nutzlasten zu liefern . Die Operation neutralisierte die Offensivfähigkeiten des Botnetzes wirksam, auch wenn die Malware als latente Bedrohung auf einer unbekannten Anzahl von Rechnern weltweit verbleibt .

Täterzuschreibung und Profil der Angreifer

Die Intelligence-Bewertung von CrowdStrike schreibt die Glassworm-Operation mit hoher Wahrscheinlichkeit in Russland ansässigen Cyberkriminellen zu . Der Fokus der Gruppe auf die Open-Source-Software-Lieferkette stellt eine gefährliche Weiterentwicklung der Strategie von Bedrohungsakteuren dar – weg von der direkten Attacke auf Endnutzer-Organisationen hin zur Vergiftung genau der Entwickler und Werkzeuge, von denen diese Organisationen abhängig sind.

Abhilfemaßnahmen und was jetzt zu tun ist

Die Zerschlagung ist ein entscheidender defensiver Erfolg, aber keine Heilung. CrowdStrike hat eine Reihe konkreter Schritte empfohlen, mit denen Unternehmen infizierte Systeme identifizieren und bereinigen können .

• Auf Malware scannen: Unternehmen, die CrowdStrike Falcon einsetzen, sollten ihre Umgebungen unverzüglich auf Indikatoren der GlasswormRAT-Malware untersuchen.
• Auf Kompromittierungsindikatoren (IoCs) prüfen: Sicherheitsteams sollten Netzwerkprotokolle auf Verbindungen zu einer von CrowdStrike betriebenen Sinkhole-IP-Adresse (164.92.88[.]210) überprüfen und die im öffentlichen Blogbeitrag bereitgestellten YARA-Regeln nutzen, um nach Infektionen zu suchen .
• Vollständige Neuinstallation: Die einzig sichere Bereinigung eines infizierten Rechners ist das komplette Neuaufsetzen von einem als sicher bekannten, sauberen Systemabbild .
• Tausch von Zugangsdaten: Alle Zugangsdaten, Token und Secrets, die auf einem kompromittierten Entwickler-Rechner zugänglich gewesen sein könnten, müssen umgehend ausgetauscht werden, um weiteren unbefugten Zugriff zu verhindern .

Seit Anfang 2025 aktiv, war Glassworm kein typisches Botnetz, das auf Geräte von Privatanwendern aus war. Es hatte es gezielt auf Softwareentwickler abgesehen und missbrauchte die Werkzeuge, denen diese vertrauen. Die Angreifer vergifteten über 300 GitHub-Repositories, manipulierten Erweiterungen für Visual Studio Code und kompromittierten Pakete auf den Paketregistern npm und Python Package Index (PyPI) . Dieser Lieferketten-Ansatz verlieh der Schadsoftware eine Präsenz auf Windows-, macOS- und Linux-Systemen. Die finale Schadnutzlast war GlasswormRAT, ein in Node.js geschriebenes Remote-Access-Tool, das Zugangsdaten abgreifen, Tastatureingaben aufzeichnen und Daten exfiltrieren konnte. So wurde der Rechner eines Entwicklers zur Startrampe für weitere, nachgelagerte Kompromittierungen .

Die vierköpfige Command-and-Control-Architektur

Was Glassworm seine einzigartige Widerstandsfähigkeit verlieh, war seine mehrkanalige Command-and-Control-Infrastruktur (C2). Die Betreiber vermieden gezielt einzelne Schwachstellen, indem sie die Kommunikation über vier unterschiedliche, redundante Kanäle leiteten .

1. Transaktionen auf der Solana-Blockchain: Das Botnetz nutzte die öffentliche Solana-Blockchain als verdecktes Relais. Ein Ansatz, der eine Zensur oder Abschaltung extrem erschwert, da das Hauptbuch dezentral und unveränderlich ist .
2. BitTorrent Distributed Hash Table (DHT): Der Einsatz eines Peer-to-Peer-Filesharing-Netzwerks bot einen weiteren dezentralen und höchst robusten Kommunikationsweg .
3. Google Kalender als 'Toter Briefkasten': Die Angreifer verwendeten die Titel von Google-Kalender-Einträgen als versteckte Nachrichten, um neue Befehle zu übermitteln. So tarnten sie den schädlichen Datenverkehr in einem legitimen und weit verbreiteten Webdienst .
4. Konventionelle VPS-Server: Neben den neuartigen Methoden betrieben die Angreifer auch Infrastruktur auf kommerziellen virtuellen privaten Servern – eine konventionellere, aber dennoch wesentliche Komponente .

Diese mehrschichtige Architektur war der Kern der „Unzerstörbarkeit" des Botnetzes. Hätte man nur einen oder zwei Kanäle lahmgelegt, wären die anderen voll funktionsfähig geblieben, und die Betreiber hätten ihre Kontrolle schnell wiederherstellen können .

Die Strategie des koordinierten Schlags

Der einzig gangbare Weg zur Zerstörung war ein gleichzeitiger Schlag gegen alle vier C2-Kanäle. CrowdStrike beschrieb die Herausforderung nüchtern: „Die Zerschlagung dieser Architektur erforderte Präzision und Timing. Nur einen Kanal lahmzulegen, hätte die anderen weiterhin einsatzfähig gelassen, sodass die Betreiber sie schnell hätten wiederherstellen können" .

Am 26. Mai um 14:00 Uhr UTC führte die Koalition eine präzise koordinierte Aktion aus, die die Verbindung zwischen den Botnetz-Betreibern und ihrem globalen Netzwerk infizierter Maschinen kappte . Dadurch wurde die GlasswormRAT-Malware nicht automatisch von den kompromittierten Systemen entfernt, aber es blockierte die Fähigkeit der Angreifer, neue Befehle zu erteilen oder frische Schadcode-Nutzlasten zu liefern . Die Operation neutralisierte die Offensivfähigkeiten des Botnetzes wirksam, auch wenn die Malware als latente Bedrohung auf einer unbekannten Anzahl von Rechnern weltweit verbleibt .

Täterzuschreibung und Profil der Angreifer

Die Intelligence-Bewertung von CrowdStrike schreibt die Glassworm-Operation mit hoher Wahrscheinlichkeit in Russland ansässigen Cyberkriminellen zu . Der Fokus der Gruppe auf die Open-Source-Software-Lieferkette stellt eine gefährliche Weiterentwicklung der Strategie von Bedrohungsakteuren dar – weg von der direkten Attacke auf Endnutzer-Organisationen hin zur Vergiftung genau der Entwickler und Werkzeuge, von denen diese Organisationen abhängig sind.

Abhilfemaßnahmen und was jetzt zu tun ist

Die Zerschlagung ist ein entscheidender defensiver Erfolg, aber keine Heilung. CrowdStrike hat eine Reihe konkreter Schritte empfohlen, mit denen Unternehmen infizierte Systeme identifizieren und bereinigen können .

• Auf Malware scannen: Unternehmen, die CrowdStrike Falcon einsetzen, sollten ihre Umgebungen unverzüglich auf Indikatoren der GlasswormRAT-Malware untersuchen.
• Auf Kompromittierungsindikatoren (IoCs) prüfen: Sicherheitsteams sollten Netzwerkprotokolle auf Verbindungen zu einer von CrowdStrike betriebenen Sinkhole-IP-Adresse (164.92.88[.]210) überprüfen und die im öffentlichen Blogbeitrag bereitgestellten YARA-Regeln nutzen, um nach Infektionen zu suchen .
• Vollständige Neuinstallation: Die einzig sichere Bereinigung eines infizierten Rechners ist das komplette Neuaufsetzen von einem als sicher bekannten, sauberen Systemabbild .
• Tausch von Zugangsdaten: Alle Zugangsdaten, Token und Secrets, die auf einem kompromittierten Entwickler-Rechner zugänglich gewesen sein könnten, müssen umgehend ausgetauscht werden, um weiteren unbefugten Zugriff zu verhindern .