क्राउडस्ट्राइक ने 'कभी न खत्म होने वाले' ग्लासवर्म बॉटनेट को कैसे नेस्तनाबूद किया, जो सॉफ्टवेयर डेवलपर्स को बना रहा था निशाना

2025 की शुरुआत से सक्रिय यह बॉटनेट आम लोगों के डिवाइसों की तलाश में नहीं था। इसने सीधे सॉफ्टवेयर डेवलपर्स पर निशाना साधा, और उन्हीं उपकरणों को जहरीला बना दिया जिन पर वे भरोसा करते हैं। हमलावरों ने 300 से अधिक गिटहब (GitHub) रिपॉजिटरी को दूषित किया, विजुअल स्टूडियो कोड (VSCode) एक्सटेंशन में ट्रोजन डाले, और npm व पायथन (Python) के पैकेज इंडेक्स पर समझौता किया । आपूर्ति श्रृंखला (Supply Chain) पर किए गए इस हमले की वजह से विंडोज, मैकओएस और लिनक्स तीनों पर यह मैलवेयर फैल गया। इसका अंतिम पेलोड ग्लासवर्मआरएटी (GlasswormRAT) था, एक Node.js रिमोट एक्सेस टूल जो पासवर्ड चुराने, कीस्ट्रोक रिकॉर्ड करने और डेटा चुराने में सक्षम था, और इस तरह यह किसी भी डेवलपर की मशीन को आगे के हमलों का अड्डा बना देता था ।

कमांड-एंड-कंट्रोल की चौमुखी संरचना

ग्लासवर्म को सच में 'न खत्म होने वाला' बनाने का राज था इसका मल्टी-चैनल कमांड-एंड-कंट्रोल (C2) इंफ्रास्ट्रक्चर। ऑपरेटरों ने असफलता के किसी एक बिंदु से बचने के लिए संचार (कम्युनिकेशन) को चार अलग-अलग और एक-दूसरे के विकल्प के रूप में काम करने वाले चैनलों से रूट किया था ।

1. सॉलाना ब्लॉकचेन ट्रांजेक्शन: इस बॉटनेट ने एक गुप्त संदेश रिले के रूप में सार्वजनिक सॉलाना (Solana) ब्लॉकचेन का उपयोग किया, एक ऐसा तरीका जिसे बंद करना या सेंसर करना बेहद मुश्किल है क्योंकि इसका बहीखाता (लेजर) विकेंद्रीकृत और अपरिवर्तनीय है ।
2. बिटटोरेंट डिस्ट्रीब्यूटेड हैश टेबल (DHT): पीयर-टू-पीयर फाइल-शेयरिंग नेटवर्क का लाभ उठाकर, इसने एक और विकेंद्रीकृत और अत्यधिक लचीला संचार मार्ग प्रदान किया ।
3. गूगल कैलेंडर 'डेड-ड्रॉप': हमलावरों ने गूगल कैलेंडर की इवेंट एंट्रीज के शीर्षकों को एक छिपे हुए संदेश बोर्ड में बदल दिया, और नए कमांड पोस्ट करने के लिए आम वेब ट्रैफिक के बीच छिप गए ।
4. सामान्य वीपीएस सर्वर: इन नए तरीकों के साथ ही, ऑपरेटरों ने वाणिज्यिक वर्चुअल प्राइवेट सर्वर (VPS) पर भी बुनियादी ढांचा बनाए रखा, जो पारंपरिक जरूर था लेकिन फिर भी जरूरी था ।

यही बहुस्तरीय संरचना बॉटनेट की 'कभी न खत्म होने' की प्रकृति का मूल कारण थी। एक या दो चैनलों को बंद करने पर बाकी के चैनल पूरी तरह से काम करते रहते, जिससे ऑपरेटर तुरंत अपना नियंत्रण पुनर्गठित कर सकते थे ।

समन्वित कार्रवाई की रणनीति

इस खतरे को खत्म करने का एकमात्र तरीका था चारों C2 चैनलों पर एक साथ प्रहार करना। क्राउडस्ट्राइक ने चुनौती को साफ शब्दों में बताया: "इस आर्किटेक्चर को बाधित करने के लिए सटीकता और सही समय (टाइमिंग) की जरूरत थी। केवल एक चैनल को बंद करने से बाकी के चैनल सक्रिय रहते, जिससे ऑपरेटर तेजी से इसे दोबारा खड़ा कर सकते थे।"

26 मई को दोपहर 2:00 UTC बजे, इस गठबंधन ने एक ऐसी सटीक कार्रवाई को अंजाम दिया जिसने बॉटनेट ऑपरेटरों का उनके वैश्विक संक्रमित मशीनों के नेटवर्क से संपर्क हमेशा के लिए काट दिया । इस कार्रवाई ने ग्लासवर्मआरएटी मैलवेयर को संक्रमित कंप्यूटरों से अपने आप नहीं हटाया, लेकिन इसने हमलावरों की कोई भी नया कमांड जारी करने या नया मैलवेयर पेलोड भेजने की क्षमता को जरूर खत्म कर दिया । यह ऑपरेशन बॉटनेट की आक्रामक क्षमताओं को बेअसर करने में सफल रहा, भले ही मैलवेयर अभी भी दुनिया भर में अज्ञात संख्या में मशीनों पर एक गुप्त खतरे के रूप में मौजूद है ।

हमलावरों का खुलासा और प्रोफाइल

क्राउडस्ट्राइक के खुफिया आकलन ने ग्लासवर्म ऑपरेशन को संभावित रूप से रूस-आधारित साइबर अपराधियों से जोड़ा है । इस ग्रुप का ओपन-सोर्स सॉफ्टवेयर सप्लाई चेन पर फोकस खतरा पैदा करने वालों की रणनीति में एक खतरनाक विकास को दर्शाता है। यह अब अंतिम-उपयोगकर्ता संगठनों को सीधे निशाना बनाने के बजाय, उन तमाम डेवलपर्स और औजारों को ही जहरीला कर रहे हैं जिन पर संगठन निर्भर करते हैं।

सुधार के उपाय: अभी क्या करें

यह विफलता रक्षा के पक्ष में एक महत्वपूर्ण जीत है, लेकिन यह कोई स्थायी इलाज नहीं है। क्राउडस्ट्राइक ने संगठनों को किसी भी संक्रमित सिस्टम की पहचान करने और उन्हें साफ करने के लिए कुछ ठोस सुधारात्मक कदम सुझाए हैं ।

• मैलवेयर के लिए स्कैन करें: जो संगठन क्राउडस्ट्राइक फाल्कन (Falcon) का उपयोग कर रहे हैं, उन्हें तुरंत अपने वातावरण में ग्लासवर्मआरएटी मैलवेयर के संकेतकों के लिए स्कैन करना चाहिए।
• समझौता संकेतकों (IoCs) की जाँच करें: सुरक्षा टीमों को क्राउडस्ट्राइक द्वारा संचालित एक सिंकहोल IP पते (164.92.88[.]210) से कनेक्शनों के लिए नेटवर्क लॉग की समीक्षा करनी चाहिए और संक्रमणों का पता लगाने के लिए कंपनी के सार्वजनिक ब्लॉग पोस्ट में दिए गए YARA नियमों का उपयोग करना चाहिए ।
• पूर्ण रीबिल्ड: किसी संक्रमित मशीन के लिए एकमात्र सुनिश्चत उपचार एक ज्ञात-सुरक्षित, स्वच्छ इमेज से पूरी तरह से पुनर्निर्माण (रीबिल्ड) करना है ।
• क्रेडेंशियल रोटेशन: सभी क्रेडेंशियल, टोकन और सीक्रेट्स को, जो समझौता किए गए डेवलपर वर्कस्टेशन पर सुलभ रहे हों, तुरंत बदल देना चाहिए ताकि किसी आगे की अनधिकृत पहुँच को रोका जा सके ।