Actif depuis début 2025, Glassworm n’était pas un botnet classique chassant les appareils grand public. Il ciblait spécifiquement les développeurs de logiciels, en transformant en armes les outils auxquels ils font confiance. Les attaquants ont empoisonné plus de 300 dépôts GitHub, trojanisé des extensions Visual Studio Code et compromis des paquets sur npm et PyPl (l'index des paquets Python) . Cette approche par la chaîne d’approvisionnement a permis au malware d’être présent sur les systèmes Windows, macOS et Linux. La charge utile ultime était GlasswormRAT, un outil d’accès à distance en Node.js capable de collecter des identifiants, d’enregistrer les frappes au clavier et d’exfiltrer des données, transformant ainsi la machine d’un développeur en rampe de lancement pour d’autres compromissions en aval .

L’architecture de commande et de contrôle à quatre têtes

Ce qui rendait Glassworm particulièrement résilient était son infrastructure de commande et de contrôle (C2) multicanal. Les opérateurs ont délibérément évité les points de défaillance uniques en acheminant les communications via quatre canaux distincts et redondants .

1. Transactions sur la blockchain Solana : Le botnet utilisait la blockchain publique Solana comme relais discret, une approche qui rend la censure ou l’arrêt extrêmement difficiles car le registre est distribué et immuable .
2. Table de hachage distribuée (DHT) BitTorrent : L’exploitation des réseaux pair-à-pair de partage de fichiers offrait une autre voie de communication décentralisée et hautement résiliente .
3. Messages cachés dans Google Calendar : Les attaquants se servaient des titres d’événements dans des agendas Google Calendar comme d’un tableau d’affichage caché pour poster de nouvelles commandes, noyant le trafic malveillant dans un service web légitime et largement utilisé .
4. Serveurs VPS traditionnels : Parallèlement à ces méthodes inédites, les opérateurs maintenaient aussi une infrastructure sur des serveurs privés virtuels (VPS) commerciaux, une composante plus conventionnelle mais tout aussi essentielle .

Cette architecture à plusieurs couches était au cœur de la nature « indestructible » du botnet. Neutraliser un ou deux canaux aurait laissé les autres pleinement fonctionnels, permettant aux opérateurs de reconstituer rapidement leur contrôle .

La stratégie de démantèlement coordonné

La seule voie viable vers la neutralisation était une frappe simultanée contre les quatre canaux C2. CrowdStrike a décrit le défi simplement : « Perturber cette architecture exigeait précision et synchronisation. Désactiver un seul canal aurait laissé les autres opérationnels, permettant aux opérateurs de se reconstituer rapidement » .

À 14h00 UTC le 26 mai, la coalition a exécuté une action précisément coordonnée qui a rompu le lien entre les opérateurs du botnet et leur réseau mondial de machines infectées . Cela n’a pas automatiquement supprimé le malware GlasswormRAT des terminaux compromis, mais cela a bloqué la capacité des opérateurs à émettre de nouvelles commandes ou à délivrer des charges malveillantes . L’opération a effectivement neutralisé la capacité offensive du botnet, même si le malware reste une menace latente sur un nombre inconnu de machines à travers le monde .

Attribution et profil de l’adversaire

L’évaluation de CrowdStrike attribue l’opération Glassworm à des cybercriminels probablement basés en Russie . La focalisation du groupe sur la chaîne d’approvisionnement des logiciels open source représente une évolution dangereuse de la stratégie des acteurs de la menace, délaissant le ciblage des organisations utilisatrices finales au profit de l’empoisonnement des développeurs et des outils dont ces organisations dépendent.

Remédiation et actions à mener maintenant

Cette neutralisation est une victoire défensive cruciale, mais ce n’est pas un remède. CrowdStrike a recommandé un ensemble concret de mesures de remédiation pour que les organisations puissent identifier et nettoyer tout système infecté .

• Analyser la présence de malwares : Les organisations utilisant CrowdStrike Falcon doivent immédiatement rechercher dans leurs environnements les indicateurs du malware GlasswormRAT.
• Vérifier les indicateurs de compromission (IoC) : Les équipes de sécurité doivent examiner les journaux réseau à la recherche de connexions vers une adresse IP de sinkhole opérée par CrowdStrike (164.92.88[.]210) et utiliser les règles YARA fournies dans leur article technique public pour traquer les infections .
• Reconstruction complète : La seule remédiation certaine pour une machine infectée est une reconstruction complète à partir d’une image saine et vérifiée .
• Rotation des identifiants : Tous les identifiants, jetons et secrets qui auraient pu être accessibles sur un poste de travail compromis doivent être révoqués et changés immédiatement pour empêcher tout nouvel accès non autorisé .

Actif depuis début 2025, Glassworm n’était pas un botnet classique chassant les appareils grand public. Il ciblait spécifiquement les développeurs de logiciels, en transformant en armes les outils auxquels ils font confiance. Les attaquants ont empoisonné plus de 300 dépôts GitHub, trojanisé des extensions Visual Studio Code et compromis des paquets sur npm et PyPl (l'index des paquets Python) . Cette approche par la chaîne d’approvisionnement a permis au malware d’être présent sur les systèmes Windows, macOS et Linux. La charge utile ultime était GlasswormRAT, un outil d’accès à distance en Node.js capable de collecter des identifiants, d’enregistrer les frappes au clavier et d’exfiltrer des données, transformant ainsi la machine d’un développeur en rampe de lancement pour d’autres compromissions en aval .

L’architecture de commande et de contrôle à quatre têtes

Ce qui rendait Glassworm particulièrement résilient était son infrastructure de commande et de contrôle (C2) multicanal. Les opérateurs ont délibérément évité les points de défaillance uniques en acheminant les communications via quatre canaux distincts et redondants .

1. Transactions sur la blockchain Solana : Le botnet utilisait la blockchain publique Solana comme relais discret, une approche qui rend la censure ou l’arrêt extrêmement difficiles car le registre est distribué et immuable .
2. Table de hachage distribuée (DHT) BitTorrent : L’exploitation des réseaux pair-à-pair de partage de fichiers offrait une autre voie de communication décentralisée et hautement résiliente .
3. Messages cachés dans Google Calendar : Les attaquants se servaient des titres d’événements dans des agendas Google Calendar comme d’un tableau d’affichage caché pour poster de nouvelles commandes, noyant le trafic malveillant dans un service web légitime et largement utilisé .
4. Serveurs VPS traditionnels : Parallèlement à ces méthodes inédites, les opérateurs maintenaient aussi une infrastructure sur des serveurs privés virtuels (VPS) commerciaux, une composante plus conventionnelle mais tout aussi essentielle .

Cette architecture à plusieurs couches était au cœur de la nature « indestructible » du botnet. Neutraliser un ou deux canaux aurait laissé les autres pleinement fonctionnels, permettant aux opérateurs de reconstituer rapidement leur contrôle .

La stratégie de démantèlement coordonné

La seule voie viable vers la neutralisation était une frappe simultanée contre les quatre canaux C2. CrowdStrike a décrit le défi simplement : « Perturber cette architecture exigeait précision et synchronisation. Désactiver un seul canal aurait laissé les autres opérationnels, permettant aux opérateurs de se reconstituer rapidement » .

À 14h00 UTC le 26 mai, la coalition a exécuté une action précisément coordonnée qui a rompu le lien entre les opérateurs du botnet et leur réseau mondial de machines infectées . Cela n’a pas automatiquement supprimé le malware GlasswormRAT des terminaux compromis, mais cela a bloqué la capacité des opérateurs à émettre de nouvelles commandes ou à délivrer des charges malveillantes . L’opération a effectivement neutralisé la capacité offensive du botnet, même si le malware reste une menace latente sur un nombre inconnu de machines à travers le monde .

Attribution et profil de l’adversaire

L’évaluation de CrowdStrike attribue l’opération Glassworm à des cybercriminels probablement basés en Russie . La focalisation du groupe sur la chaîne d’approvisionnement des logiciels open source représente une évolution dangereuse de la stratégie des acteurs de la menace, délaissant le ciblage des organisations utilisatrices finales au profit de l’empoisonnement des développeurs et des outils dont ces organisations dépendent.

Remédiation et actions à mener maintenant

Cette neutralisation est une victoire défensive cruciale, mais ce n’est pas un remède. CrowdStrike a recommandé un ensemble concret de mesures de remédiation pour que les organisations puissent identifier et nettoyer tout système infecté .

• Analyser la présence de malwares : Les organisations utilisant CrowdStrike Falcon doivent immédiatement rechercher dans leurs environnements les indicateurs du malware GlasswormRAT.
• Vérifier les indicateurs de compromission (IoC) : Les équipes de sécurité doivent examiner les journaux réseau à la recherche de connexions vers une adresse IP de sinkhole opérée par CrowdStrike (164.92.88[.]210) et utiliser les règles YARA fournies dans leur article technique public pour traquer les infections .
• Reconstruction complète : La seule remédiation certaine pour une machine infectée est une reconstruction complète à partir d’une image saine et vérifiée .
• Rotation des identifiants : Tous les identifiants, jetons et secrets qui auraient pu être accessibles sur un poste de travail compromis doivent être révoqués et changés immédiatement pour empêcher tout nouvel accès non autorisé .