Aktif sejak awal 2025, Glassworm bukanlah botnet biasa yang memburu perangkat konsumen. Ia secara spesifik mengincar para pengembang perangkat lunak, mempersenjatai alat-alat yang mereka percayai. Penyerang meracuni lebih dari 300 repositori GitHub, memasang trojan pada ekstensi Visual Studio Code, dan menyusupi paket di indeks paket npm dan Python . Pendekatan rantai pasok ini membuat malware tersebut hadir di sistem Windows, macOS, dan Linux. Muatan akhirnya adalah GlasswormRAT, alat akses jarak jauh berbasis Node.js yang mampu memanen kredensial, merekam ketikan keyboard, dan mengeksfiltrasi data, sehingga mengubah mesin pengembang menjadi pangkalan peluncuran untuk kompromi lebih lanjut ke hilir .

Arsitektur Kendali Empat Kepala

Yang membuat Glassworm sangat tangguh adalah infrastruktur command-and-control (C2) multi-salurannya. Para operator sengaja menghindari titik kegagalan tunggal dengan mengarahkan komunikasi melalui empat saluran berbeda yang redundan .

1. Transaksi Blockchain Solana: Botnet menggunakan blockchain publik Solana sebagai relai rahasia, sebuah pendekatan yang membuat penyensoran atau penutupan menjadi sangat sulit karena buku besarnya terdistribusi dan tidak dapat diubah .
2. Tabel Hash Terdistribusi (DHT) BitTorrent: Memanfaatkan jaringan berbagi file peer-to-peer menyediakan jalur komunikasi terdesentralisasi dan sangat tangguh lainnya .
3. Papan Pesan Google Calendar: Para penyerang menggunakan judul acara di entri Google Calendar sebagai papan pesan tersembunyi untuk mengirim perintah baru, menyamarkan lalu lintas berbahaya ke dalam layanan web yang sah dan banyak digunakan .
4. Server VPS Tradisional: Di samping metode-metode baru, para operator juga memelihara infrastruktur pada Virtual Private Server komersial, sebuah komponen yang lebih konvensional namun tetap esensial .

Arsitektur berlapis inilah inti dari sifat botnet yang "tak terbunuh." Mematikan satu atau dua saluran akan menyisakan saluran lainnya yang berfungsi penuh, memungkinkan operator untuk dengan cepat menyusun kembali kendali mereka .

Strategi Pelumpuhan Terkoordinasi

Satu-satunya jalan yang memungkinkan untuk melumpuhkannya adalah serangan serentak terhadap keempat saluran C2. CrowdStrike menggambarkan tantangannya dengan jelas: "Melumpuhkan arsitektur ini membutuhkan ketepatan dan pemilihan waktu. Mematikan hanya satu saluran akan membuat saluran lainnya tetap operasional, memungkinkan operator untuk dengan cepat menyusun kembali. Keempat saluran harus dilumpuhkan secara bersamaan dalam upaya terkoordinasi" .

Pada pukul 14:00 UTC tanggal 26 Mei, koalisi ini mengeksekusi sebuah aksi yang terkoordinasi dengan tepat untuk memutus hubungan antara operator botnet dan jaringan global mesin yang terinfeksi . Ini tidak secara otomatis menghapus malware GlasswormRAT dari endpoint yang terkompromi, tetapi berhasil memblokir kemampuan operator untuk mengeluarkan perintah baru atau mengirimkan muatan berbahaya yang baru . Operasi ini secara efektif melumpuhkan kemampuan ofensif botnet, meskipun malware-nya tetap menjadi ancaman laten di sejumlah mesin yang tidak diketahui di seluruh dunia .

Atribusi dan Profil Musuh

Penilaian intelijen CrowdStrike mengatribusikan operasi Glassworm kepada penjahat siber yang kemungkinan berbasis di Rusia . Fokus kelompok ini pada rantai pasok perangkat lunak sumber terbuka mewakili evolusi berbahaya dalam strategi aktor ancaman, bergeser dari menargetkan organisasi pengguna akhir menjadi meracuni para pengembang dan alat yang diandalkan oleh organisasi tersebut.

Remediasi dan Langkah yang Harus Dilakukan Sekarang

Pelumpuhan ini adalah kemenangan defensif yang kritis, tetapi bukanlah obat. CrowdStrike telah merekomendasikan serangkaian langkah remediasi konkret bagi organisasi untuk mengidentifikasi dan membersihkan sistem yang terinfeksi .

• Pindai Malware: Organisasi yang menggunakan CrowdStrike Falcon harus segera memindai lingkungan mereka untuk indikator malware GlasswormRAT.
• Periksa Indicator of Compromise (IoC): Tim keamanan harus meninjau log jaringan untuk koneksi ke alamat IP sinkhole yang dioperasikan CrowdStrike (164.92.88[.]210) dan menggunakan aturan YARA yang disediakan di postingan blog publik mereka untuk berburu infeksi .
• Bangun Ulang Total: Satu-satunya remediasi yang pasti untuk mesin yang terinfeksi adalah membangun ulang penuh dari citra bersih yang dikenal baik .
• Rotasi Kredensial: Semua kredensial, token, dan rahasia yang mungkin dapat diakses di workstation pengembang yang terkompromi harus segera dirotasi untuk mencegah akses tidak sah lebih lanjut .

Aktif sejak awal 2025, Glassworm bukanlah botnet biasa yang memburu perangkat konsumen. Ia secara spesifik mengincar para pengembang perangkat lunak, mempersenjatai alat-alat yang mereka percayai. Penyerang meracuni lebih dari 300 repositori GitHub, memasang trojan pada ekstensi Visual Studio Code, dan menyusupi paket di indeks paket npm dan Python . Pendekatan rantai pasok ini membuat malware tersebut hadir di sistem Windows, macOS, dan Linux. Muatan akhirnya adalah GlasswormRAT, alat akses jarak jauh berbasis Node.js yang mampu memanen kredensial, merekam ketikan keyboard, dan mengeksfiltrasi data, sehingga mengubah mesin pengembang menjadi pangkalan peluncuran untuk kompromi lebih lanjut ke hilir .

Arsitektur Kendali Empat Kepala

Yang membuat Glassworm sangat tangguh adalah infrastruktur command-and-control (C2) multi-salurannya. Para operator sengaja menghindari titik kegagalan tunggal dengan mengarahkan komunikasi melalui empat saluran berbeda yang redundan .

1. Transaksi Blockchain Solana: Botnet menggunakan blockchain publik Solana sebagai relai rahasia, sebuah pendekatan yang membuat penyensoran atau penutupan menjadi sangat sulit karena buku besarnya terdistribusi dan tidak dapat diubah .
2. Tabel Hash Terdistribusi (DHT) BitTorrent: Memanfaatkan jaringan berbagi file peer-to-peer menyediakan jalur komunikasi terdesentralisasi dan sangat tangguh lainnya .
3. Papan Pesan Google Calendar: Para penyerang menggunakan judul acara di entri Google Calendar sebagai papan pesan tersembunyi untuk mengirim perintah baru, menyamarkan lalu lintas berbahaya ke dalam layanan web yang sah dan banyak digunakan .
4. Server VPS Tradisional: Di samping metode-metode baru, para operator juga memelihara infrastruktur pada Virtual Private Server komersial, sebuah komponen yang lebih konvensional namun tetap esensial .

Arsitektur berlapis inilah inti dari sifat botnet yang "tak terbunuh." Mematikan satu atau dua saluran akan menyisakan saluran lainnya yang berfungsi penuh, memungkinkan operator untuk dengan cepat menyusun kembali kendali mereka .

Strategi Pelumpuhan Terkoordinasi

Satu-satunya jalan yang memungkinkan untuk melumpuhkannya adalah serangan serentak terhadap keempat saluran C2. CrowdStrike menggambarkan tantangannya dengan jelas: "Melumpuhkan arsitektur ini membutuhkan ketepatan dan pemilihan waktu. Mematikan hanya satu saluran akan membuat saluran lainnya tetap operasional, memungkinkan operator untuk dengan cepat menyusun kembali. Keempat saluran harus dilumpuhkan secara bersamaan dalam upaya terkoordinasi" .

Pada pukul 14:00 UTC tanggal 26 Mei, koalisi ini mengeksekusi sebuah aksi yang terkoordinasi dengan tepat untuk memutus hubungan antara operator botnet dan jaringan global mesin yang terinfeksi . Ini tidak secara otomatis menghapus malware GlasswormRAT dari endpoint yang terkompromi, tetapi berhasil memblokir kemampuan operator untuk mengeluarkan perintah baru atau mengirimkan muatan berbahaya yang baru . Operasi ini secara efektif melumpuhkan kemampuan ofensif botnet, meskipun malware-nya tetap menjadi ancaman laten di sejumlah mesin yang tidak diketahui di seluruh dunia .

Atribusi dan Profil Musuh

Penilaian intelijen CrowdStrike mengatribusikan operasi Glassworm kepada penjahat siber yang kemungkinan berbasis di Rusia . Fokus kelompok ini pada rantai pasok perangkat lunak sumber terbuka mewakili evolusi berbahaya dalam strategi aktor ancaman, bergeser dari menargetkan organisasi pengguna akhir menjadi meracuni para pengembang dan alat yang diandalkan oleh organisasi tersebut.

Remediasi dan Langkah yang Harus Dilakukan Sekarang

Pelumpuhan ini adalah kemenangan defensif yang kritis, tetapi bukanlah obat. CrowdStrike telah merekomendasikan serangkaian langkah remediasi konkret bagi organisasi untuk mengidentifikasi dan membersihkan sistem yang terinfeksi .

• Pindai Malware: Organisasi yang menggunakan CrowdStrike Falcon harus segera memindai lingkungan mereka untuk indikator malware GlasswormRAT.
• Periksa Indicator of Compromise (IoC): Tim keamanan harus meninjau log jaringan untuk koneksi ke alamat IP sinkhole yang dioperasikan CrowdStrike (164.92.88[.]210) dan menggunakan aturan YARA yang disediakan di postingan blog publik mereka untuk berburu infeksi .
• Bangun Ulang Total: Satu-satunya remediasi yang pasti untuk mesin yang terinfeksi adalah membangun ulang penuh dari citra bersih yang dikenal baik .
• Rotasi Kredensial: Semua kredensial, token, dan rahasia yang mungkin dapat diakses di workstation pengembang yang terkompromi harus segera dirotasi untuk mencegah akses tidak sah lebih lanjut .