Mạng Botnet 'Bất Tử' Glassworm Bị Hạ Gục: Bên Trong Chiến Dịch Phối Hợp Lịch Sử Của CrowdStrike

Hoạt động từ đầu năm 2025, Glassworm không phải là một mạng botnet thông thường chuyên săn lùng thiết bị của người dùng cá nhân. Thay vào đó, nó đặc biệt nhắm vào các lập trình viên phần mềm, vũ khí hóa chính những công cụ mà họ tin tưởng. Kẻ tấn công đã đầu độc hơn 300 kho lưu trữ trên GitHub, chèn mã độc vào các tiện ích mở rộng của Visual Studio Code (VSCode), và xâm phạm các gói phần mềm trên cả hai kho lưu trữ npm và Python . Cách tiếp cận chuỗi cung ứng này mang lại cho mã độc sự hiện diện trên các hệ thống Windows, macOS, và Linux. Tải trọng cuối cùng là GlasswormRAT, một công cụ truy cập từ xa dựa trên Node.js có khả năng thu thập thông tin đăng nhập, ghi lại thao tác bàn phím và đánh cắp dữ liệu, qua đó biến máy của một lập trình viên thành bệ phóng cho các cuộc tấn công sâu hơn vào hệ thống của tổ chức .

Kiến Trúc Điều Khiển Bốn Đầu Não

Điều làm cho Glassworm có sức chống chịu đặc biệt chính là hạ tầng chỉ huy và điều khiển (C2) đa kênh. Kẻ vận hành đã cố tình loại bỏ các điểm lỗi đơn lẻ bằng cách định tuyến giao tiếp qua bốn kênh dự phòng, riêng biệt .

1. Giao dịch Blockchain Solana: Mạng botnet sử dụng blockchain công khai Solana như một rơ-le bí mật. Cách tiếp cận này khiến việc kiểm duyệt hoặc đánh sập trở nên cực kỳ khó khăn vì sổ cái là phân tán và bất biến .
2. Bảng Băm Phân tán (DHT) BitTorrent: Việc khai thác mạng chia sẻ tệp ngang hàng (peer-to-peer) đã cung cấp một kênh liên lạc phi tập trung và có độ phục hồi cao khác .
3. 'Điểm chết' Google Calendar: Những kẻ tấn công đã sử dụng tiêu đề sự kiện trong các mục Google Calendar như một bảng tin ẩn để đăng các lệnh mới, trà trộn lưu lượng độc hại vào một dịch vụ web hợp pháp và được sử dụng rộng rãi .
4. Máy chủ VPS Truyền thống: Bên cạnh các phương pháp mới lạ, kẻ vận hành cũng duy trì hạ tầng trên các Máy chủ Riêng Ảo (VPS) thương mại, một thành phần quy ước hơn nhưng vẫn rất thiết yếu .

Kiến trúc phân lớp này chính là cốt lõi tạo nên bản chất 'bất tử' của mạng botnet. Việc hạ gục một hoặc hai kênh sẽ khiến các kênh còn lại hoàn toàn hoạt động, cho phép kẻ vận hành nhanh chóng tái lập quyền kiểm soát .

Chiến Lược Triệt Hạ: Cú Đánh 'One Shot'

Con đường khả thi duy nhất để ngăn chặn là một cuộc tấn công đồng thời vào cả bốn kênh C2. CrowdStrike mô tả thách thức này một cách rõ ràng: "Việc phá vỡ kiến trúc này đòi hỏi sự chính xác và đúng thời điểm. Chỉ hạ gục một kênh sẽ khiến các kênh khác vẫn hoạt động, cho phép kẻ vận hành nhanh chóng tái cấu trúc" .

Vào lúc 14:00 UTC ngày 26 tháng 5, liên minh đã thực thi một hành động phối hợp chính xác, cắt đứt kết nối giữa kẻ vận hành mạng botnet và mạng lưới máy bị nhiễm toàn cầu của chúng . Điều này không tự động xóa phần mềm độc hại GlasswormRAT khỏi các điểm cuối bị xâm nhập, nhưng nó đã chặn đứng khả năng của kẻ vận hành trong việc ra lệnh mới hoặc phân phối các tải trọng độc hại mới . Chiến dịch đã vô hiệu hóa một cách hiệu quả khả năng tấn công của mạng botnet, mặc dù mã độc vẫn là một mối đe dọa tiềm ẩn trên một số lượng máy không xác định trên toàn thế giới .

Nguồn Gốc và Chân Dung Kẻ Tấn Công

Đánh giá tình báo của CrowdStrike quy kết hoạt động của Glassworm có khả năng cao là do nhóm tội phạm mạng có trụ sở tại Nga thực hiện . Sự tập trung của nhóm này vào chuỗi cung ứng phần mềm mã nguồn mở đại diện cho một sự tiến hóa nguy hiểm trong chiến lược của các tác nhân đe dọa, chuyển từ việc nhắm mục tiêu vào các tổ chức người dùng cuối sang đầu độc chính các lập trình viên và công cụ mà các tổ chức đó phụ thuộc vào.

Khắc Phục Hậu Quả và Hành Động Cần Làm Ngay

Cuộc triệt hạ này là một chiến thắng phòng thủ quan trọng, nhưng không phải là một phương thuốc chữa lành hoàn toàn. CrowdStrike đã khuyến nghị một loạt các bước khắc phục cụ thể để các tổ chức xác định và làm sạch mọi hệ thống bị nhiễm .

• Quét Mã Độc: Các tổ chức sử dụng nền tảng CrowdStrike Falcon nên ngay lập tức quét môi trường của mình để tìm các dấu hiệu của mã độc GlasswormRAT.
• Kiểm tra các Chỉ số Xâm nhập (IoCs): Đội ngũ an ninh nên rà soát nhật ký mạng để tìm các kết nối đến địa chỉ IP sinkhole do CrowdStrike vận hành, cụ thể là 164.92.88[.]210, và sử dụng các quy tắc YARA được cung cấp trong bài blog công khai của họ để săn tìm các ca nhiễm .
• Xây dựng Lại Hoàn toàn: Biện pháp khắc phục chắc chắn duy nhất cho một máy bị nhiễm là xây dựng lại toàn bộ từ một hình ảnh sạch, đã biết là an toàn .
• Xoay vòng Thông tin Xác thực: Tất cả mật khẩu, mã thông báo (token), và khóa bí mật (secrets) có thể đã bị truy cập trên một máy trạm lập trình viên bị xâm phạm phải được thay đổi ngay lập tức để ngăn chặn truy cập trái phép tiếp theo .