サプライチェーンを蝕む「不死身」のGlasswormボットネット：CrowdStrikeが明かす同時無力化作戦の全貌

Glasswormは、2025年初頭から活動を開始した、極めて悪質なサプライチェーン攻撃である。その主な標的は、一般的な家庭用端末ではない。攻撃者は、GitHub上の300以上のリポジトリ、VSCode拡張機能、npmやPythonのパッケージ群といった、世界中の開発者が日々の業務で当然のように信頼し利用するツールそのものを武器に変えたのだ。このアプローチにより、マルウェアはWindows、macOS、Linuxの垣根を越えて拡散した。最終的なペイロード「GlasswormRAT」は、Node.jsベースのリモートアクセスツールであり、認証情報の窃取、キーストロークの記録、機密データの搾取を可能にし、開発者のマシンを更なる下流組織への侵攻拠点へと作り変えた。

4つの頭を持つ指令系統：なぜ「不死身」だったのか

Glasswormの最大の特徴は、その異常なまでの回復力、すなわち「不死身」性を実現した多チャンネルの指令統制（C2）インフラにあった。運用者は、単一障害点を意図的に排除するため、通信を以下の4つの独立した経路に分散させていた。

1. Solanaブロックチェーン取引： 公開された分散型台帳であるSolanaを隠れ蓑にした中継手法で、検閲や強制遮断が極めて困難な経路である。
2. BitTorrent分散ハッシュテーブル（DHT）： P2Pファイル共有ネットワークを利用し、非中央集権的で強固な通信路を構築していた。
3. Googleカレンダーの「デッドドロップ」： 一見すると通常のスケジュール管理。しかし、イベントのタイトル欄が攻撃指令の掲示板として悪用され、日常的なWebサービスのトラフィックに紛れ込ませる巧妙さがあった。
4. 従来型のVPSサーバー： 上記の最新手法と並行して、商用の仮想プライベートサーバー上にも従来型の基盤を維持し、冗長性を担保していた。

この重層的なアーキテクチャこそが、ボットネットを「不死身」たらしめていた核心である。仮に1つや2つの経路を遮断したとしても、残りの経路は完全に機能し続けるため、攻撃者は瞬時に支配力を再構築できてしまうからだ。

一撃必殺のタイミング：完璧な同時無力化

このボットネットを無力化する唯一の道は、4つの指令系統すべてに対する「同時攻撃」だった。CrowdStrikeは公式ブログで、この作戦の困難さを率直に述べている。「このアーキテクチャを破壊するには、完璧な精度とタイミングが要求されました。1つのチャンネルを停止させただけでは、他のチャンネルが生き残り、攻撃者はただちに支配を再構築するでしょう。4つのチャンネルすべてを、連携し、同時に遮断しなければならなかったのです」。

2026年5月26日14時（UTC）、連合軍はまさにそれを実行した。この一斉作戦により、ボットネット運用者と、世界中に散らばる感染マシンとの接続が断ち切られたのだ。ただし、これは感染した端末から「GlasswormRAT」マルウェア本体を自動的に除去するものではないことに注意が必要である。この作戦の本質は、攻撃者による新たな指令の発行や、悪意あるペイロードの追加配信を不可能にした点にある。世界中の未知数のマシンに潜伏したマルウェアという脅威は残存しているが、ボットネットとしての攻撃能力は完全に無力化されたのだ。

攻撃者の実像とサプライチェーン攻撃の進化

CrowdStrikeの脅威インテリジェンス分析によると、Glasswormの運用者はロシアを拠点とするサイバー犯罪集団に帰属する可能性が高いとされている。このグループがオープンソースのソフトウェアサプライチェーンそのものに狙いを定めた戦略は、エンドユーザー組織を直接攻撃するのではなく、組織が依存する開発者とそのツールを汚染するという、攻撃者の戦術における危険な進化を示している。

決定的な勝利の次に：企業が直ちに採るべき対策

今回の指令系統の遮断は防衛側の大きな勝利だが、問題が全て解決したわけではない。CrowdStrikeは、組織内に残存する感染を特定し駆除するための具体的な措置を推奨している。

• マルウェアのスキャン実施： CrowdStrike Falconをご利用の組織は、直ちに環境全体で「GlasswormRAT」の痕跡をスキャンすること。
• 侵害痕跡（IoC）の確認： セキュリティチームは、ネットワークログを精査し、CrowdStrikeが運用するシンクホールIPアドレス（164.92.88[.]210）への通信履歴を捜索すべきである。さらに、ブログ記事で公開されているYARAルールを用いて、感染端末の特定を進めることが重要だ。
• 端末の完全な再構築： 感染が確認されたマシンの唯一確実な修復方法は、クリーンなマスターイメージからの完全な再構築（いわゆる「クリーンインストール」）である。
• 認証情報の強制ローテーション： 侵害された可能性のある開発者のワークステーション上でアクセス可能だった、全ての認証情報、トークン、シークレットを直ちにローテーション（更新および再発行）し、二次的な不正アクセスを防がなければならない。