Activa desde principios de 2025, Glassworm no era una botnet cualquiera que buscara dispositivos de consumo. Se dirigía específicamente a desarrolladores de software, utilizando como armas las mismas herramientas en las que confiaban. Los atacantes envenenaron más de 300 repositorios de GitHub, introdujeron troyanos en extensiones de Visual Studio Code y comprometieron paquetes en los registros de npm y Python . Este enfoque en la cadena de suministro le dio al malware presencia en sistemas Windows, macOS y Linux. La carga útil final era GlasswormRAT, una herramienta de acceso remoto en Node.js capaz de recolectar credenciales, registrar pulsaciones de teclas y extraer datos, convirtiendo el equipo de un desarrollador en una plataforma de lanzamiento para compromisos posteriores .

La arquitectura de comando y control de cuatro cabezas

Lo que hacía a Glassworm excepcionalmente resistente era su infraestructura de comando y control (C2) multicanal. Los operadores evitaron puntos únicos de fallo al enrutar las comunicaciones a través de cuatro canales distintos y redundantes .

1. Transacciones en la blockchain de Solana: La botnet usaba la blockchain pública de Solana como un relevo encubierto. Este método dificulta excepcionalmente la censura o el cierre, ya que el libro de contabilidad es distribuido e inmutable .
2. Tabla de hash distribuida (DHT) de BitTorrent: El uso de redes de intercambio de archivos entre pares (P2P) proporcionaba otra vía de comunicación descentralizada y altamente resiliente .
3. Buzones muertos en Google Calendar: Los atacantes usaban los títulos de los eventos de Google Calendar como un tablón de mensajes oculto para publicar nuevas órdenes, camuflando el tráfico malicioso dentro de un servicio web legítimo y ampliamente utilizado .
4. Servidores VPS tradicionales: Junto a los métodos novedosos, los operadores también mantenían infraestructura en Servidores Privados Virtuales comerciales, un componente más convencional pero igualmente esencial .

Esta arquitectura en capas era el núcleo de la naturaleza "indestructible" de la botnet. Derribar uno o dos canales dejaría el resto completamente funcional, permitiendo a los operadores reconstituir rápidamente su control .

La estrategia del golpe coordinado

El único camino viable para la disrupción era un ataque simultáneo contra los cuatro canales de C2. CrowdStrike describió el desafío con claridad: "Interrumpir esta arquitectura requería precisión y sincronización. Derribar un solo canal habría dejado los demás operativos, permitiendo a los operadores reconstituirse rápidamente" .

A las 14:00 UTC del 26 de mayo, la coalición ejecutó una acción coordinada con precisión que cortó la conexión entre los operadores de la botnet y su red global de máquinas infectadas . Esto no eliminó automáticamente el malware GlasswormRAT de los equipos comprometidos, pero sí bloqueó la capacidad de los operadores para emitir nuevas órdenes o entregar nuevas cargas maliciosas . La operación neutralizó efectivamente la capacidad ofensiva de la botnet, aunque el malware permanece como una amenaza latente en un número desconocido de máquinas en todo el mundo .

Atribución y perfil del adversario

La evaluación de inteligencia de CrowdStrike atribuyó la operación Glassworm a ciberdelincuentes probablemente con base en Rusia . El enfoque del grupo en la cadena de suministro de software de código abierto representa una peligrosa evolución en la estrategia de los actores de amenazas, pasando de atacar a las organizaciones del usuario final a envenenar a los propios desarrolladores y las herramientas de las que estas dependen.

Pasos para la remediación: qué hacer ahora

La disrupción es una victoria defensiva crítica, pero no una cura. CrowdStrike ha recomendado una serie de pasos concretos de remediación para que las organizaciones identifiquen y limpien cualquier sistema infectado .

• Escanear en busca de malware: Las organizaciones que usen CrowdStrike Falcon deben escanear de inmediato sus entornos en busca de indicadores del malware GlasswormRAT.
• Verificar Indicadores de Compromiso (IoCs): Los equipos de seguridad deben revisar los registros de red en busca de conexiones a una dirección IP de sumidero (sinkhole) operada por CrowdStrike (164.92.88[.]210) y utilizar las reglas YARA proporcionadas en su publicación técnica para buscar infecciones .
• Reconstrucción completa: La única remediación segura para una máquina infectada es una reconstrucción completa a partir de una imagen limpia y de confianza .
• Rotación de credenciales: Todas las credenciales, tokens y secretos que pudieran haber sido accesibles en una estación de trabajo de desarrollador comprometida deben rotarse de inmediato para prevenir más accesos no autorizados .

Activa desde principios de 2025, Glassworm no era una botnet cualquiera que buscara dispositivos de consumo. Se dirigía específicamente a desarrolladores de software, utilizando como armas las mismas herramientas en las que confiaban. Los atacantes envenenaron más de 300 repositorios de GitHub, introdujeron troyanos en extensiones de Visual Studio Code y comprometieron paquetes en los registros de npm y Python . Este enfoque en la cadena de suministro le dio al malware presencia en sistemas Windows, macOS y Linux. La carga útil final era GlasswormRAT, una herramienta de acceso remoto en Node.js capaz de recolectar credenciales, registrar pulsaciones de teclas y extraer datos, convirtiendo el equipo de un desarrollador en una plataforma de lanzamiento para compromisos posteriores .

La arquitectura de comando y control de cuatro cabezas

Lo que hacía a Glassworm excepcionalmente resistente era su infraestructura de comando y control (C2) multicanal. Los operadores evitaron puntos únicos de fallo al enrutar las comunicaciones a través de cuatro canales distintos y redundantes .

1. Transacciones en la blockchain de Solana: La botnet usaba la blockchain pública de Solana como un relevo encubierto. Este método dificulta excepcionalmente la censura o el cierre, ya que el libro de contabilidad es distribuido e inmutable .
2. Tabla de hash distribuida (DHT) de BitTorrent: El uso de redes de intercambio de archivos entre pares (P2P) proporcionaba otra vía de comunicación descentralizada y altamente resiliente .
3. Buzones muertos en Google Calendar: Los atacantes usaban los títulos de los eventos de Google Calendar como un tablón de mensajes oculto para publicar nuevas órdenes, camuflando el tráfico malicioso dentro de un servicio web legítimo y ampliamente utilizado .
4. Servidores VPS tradicionales: Junto a los métodos novedosos, los operadores también mantenían infraestructura en Servidores Privados Virtuales comerciales, un componente más convencional pero igualmente esencial .

Esta arquitectura en capas era el núcleo de la naturaleza "indestructible" de la botnet. Derribar uno o dos canales dejaría el resto completamente funcional, permitiendo a los operadores reconstituir rápidamente su control .

La estrategia del golpe coordinado

El único camino viable para la disrupción era un ataque simultáneo contra los cuatro canales de C2. CrowdStrike describió el desafío con claridad: "Interrumpir esta arquitectura requería precisión y sincronización. Derribar un solo canal habría dejado los demás operativos, permitiendo a los operadores reconstituirse rápidamente" .

A las 14:00 UTC del 26 de mayo, la coalición ejecutó una acción coordinada con precisión que cortó la conexión entre los operadores de la botnet y su red global de máquinas infectadas . Esto no eliminó automáticamente el malware GlasswormRAT de los equipos comprometidos, pero sí bloqueó la capacidad de los operadores para emitir nuevas órdenes o entregar nuevas cargas maliciosas . La operación neutralizó efectivamente la capacidad ofensiva de la botnet, aunque el malware permanece como una amenaza latente en un número desconocido de máquinas en todo el mundo .

Atribución y perfil del adversario

La evaluación de inteligencia de CrowdStrike atribuyó la operación Glassworm a ciberdelincuentes probablemente con base en Rusia . El enfoque del grupo en la cadena de suministro de software de código abierto representa una peligrosa evolución en la estrategia de los actores de amenazas, pasando de atacar a las organizaciones del usuario final a envenenar a los propios desarrolladores y las herramientas de las que estas dependen.

Pasos para la remediación: qué hacer ahora

La disrupción es una victoria defensiva crítica, pero no una cura. CrowdStrike ha recomendado una serie de pasos concretos de remediación para que las organizaciones identifiquen y limpien cualquier sistema infectado .

• Escanear en busca de malware: Las organizaciones que usen CrowdStrike Falcon deben escanear de inmediato sus entornos en busca de indicadores del malware GlasswormRAT.
• Verificar Indicadores de Compromiso (IoCs): Los equipos de seguridad deben revisar los registros de red en busca de conexiones a una dirección IP de sumidero (sinkhole) operada por CrowdStrike (164.92.88[.]210) y utilizar las reglas YARA proporcionadas en su publicación técnica para buscar infecciones .
• Reconstrucción completa: La única remediación segura para una máquina infectada es una reconstrucción completa a partir de una imagen limpia y de confianza .
• Rotación de credenciales: Todas las credenciales, tokens y secretos que pudieran haber sido accesibles en una estación de trabajo de desarrollador comprometida deben rotarse de inmediato para prevenir más accesos no autorizados .