Операция возмездия: Как «неубиваемый» ботнет Glassworm, охотившийся на разработчиков, был повержен

Финальной полезной нагрузкой был GlasswormRAT — инструмент удаленного доступа на Node.js, способный воровать учетные данные, записывать нажатия клавиш и похищать данные. Машина разработчика становилась плацдармом для дальнейших атак на компании и продукты, которые он создавал .

Архитектура «неубиваемого»: четыре головы гидры

Уникальная устойчивость Glassworm заключалась в его многоканальной командно-контрольной (C2) инфраструктуре. Операторы намеренно избегали единой точки отказа, распределив управление по четырем независимым каналам .

1. Транзакции в блокчейне Solana: Публичный и неизменяемый реестр Solana использовался как скрытое реле. Отключить такой канал практически невозможно, так как для этого пришлось бы остановить весь блокчейн .
2. Распределенная хеш-таблица BitTorrent (DHT): Использование peer-to-peer сетей для обмена файлами обеспечило еще один децентрализованный и крайне живучий канал связи .
3. «Тайники» в Google Календаре: Злоумышленники использовали названия событий в Google Календаре как скрытую доску объявлений для передачи команд. Вредоносный трафик маскировался под легитимную работу с популярным веб-сервисом .
4. Традиционные VPS-серверы: Наряду с инновационными методами, операторы также арендовали виртуальные частные серверы — более привычный, но все еще важный компонент управления .

Именно эта многослойная архитектура была основой «неубиваемости» ботнета. Вывод из строя одного или двух каналов оставлял остальные полностью функциональными, позволяя операторам быстро восстановить контроль .

Синхронный удар: стратегия уничтожения

Единственным способом нарушить работу Glassworm была одновременная атака на все четыре канала управления. В CrowdStrike описали сложность задачи так: «Разрушение этой архитектуры требовало точности и выбора момента. Выведение из строя только одного канала оставило бы другие работоспособными, позволив операторам быстро перегруппироваться» .

26 мая в 14:00 по UTC альянс нанес точно скоординированный удар, который разорвал связь между операторами и их глобальной сетью зараженных машин . Эта акция не удалила GlasswormRAT с компьютеров жертв, но она заблокировала возможность операторов отдавать новые команды или доставлять новые вредоносные модули . Ботнет был обезглавлен и лишен своей наступательной мощи, хотя сама вредоносная программа, как мина замедленного действия, все еще может оставаться на неизвестном количестве машин по всему миру .

Профиль противника и атрибуция

Согласно оценке разведки CrowdStrike, за операцией Glassworm, вероятно, стоят киберпреступники из России . Их фокус на цепочке поставок открытого программного обеспечения знаменует собой опасную эволюцию стратегий злоумышленников. Вместо атаки на конечные организации они стремятся «отравить источник» — инструменты и разработчиков, от которых эти организации зависят.

Что делать прямо сейчас: срочные меры защиты

Ликвидация C2-каналов — это важнейшая оборонительная победа, но не панацея. CrowdStrike опубликовал конкретный список мер, которые организациям необходимо предпринять для выявления и очистки зараженных систем .

• Сканирование на вирусы: Организациям, использующим платформу CrowdStrike Falcon, следует немедленно запустить сканирование окружения на предмет индикаторов вредоносного ПО GlasswormRAT.
• Проверка индикаторов компрометации (IoCs): Специалистам по безопасности необходимо проанализировать сетевые логи на предмет соединений с IP-адресом ловушки CrowdStrike (164.92.88[.]210) и использовать YARA-правила, опубликованные в официальном блоге компании, для поиска заражений .
• Полная переустановка: Единственный гарантированный способ очистки зараженной машины — это ее полная перезагрузка из проверенного, чистого образа системы .
• Смена учетных данных: Все пароли, токены и секреты, которые могли быть доступны на скомпрометированной рабочей станции разработчика, должны быть немедленно сменены для предотвращения дальнейшего несанкционированного доступа .