CrowdStrike 聯手 Google，一舉斬斷 Glassworm 殭屍網路四條命脈

這次行動之所以能寫進資安史冊，不僅在於規模，更在於它破解了一道看似無解的難題：一個被設計為「不死之身」的殭屍網路，究竟要如何斬草除根？

「有毒的」開發工具：當開發者變成頭號目標

Glassworm 並非一般針對消費者的殭屍網路。自 2025 年初開始活躍以來，它的狩獵目標非常明確：軟體開發者。它攻擊的正是他們每天賴以維生的工具 。

駭客在超過 300 個 GitHub 儲存庫中下毒，將惡意程式碼注入遭篡改的 Visual Studio Code 擴充功能，甚至滲透了 npm 與 Python 的套件管理平台 。這種「供應鏈」攻擊的陰險之處在於，開發者一旦信賴了這些工具，就如同親手打開自家大門，將惡意軟體迎入 Windows、macOS 或 Linux 等任何作業系統中。最終植入的 GlasswormRAT，是一套以 Node.js 為基礎的遠端存取工具，能收割帳號密碼、記錄鍵盤輸入並竊取資料，將開發者的主機變成駭客發起下一波攻擊的灘頭堡 。

為何 Glassworm 堪稱「不死」？拆解其四頭命脈架構

Glassworm 最令人頭痛的，是它的指揮與控制（Command-and-Control，簡稱 C2）基礎設施。其營運者深知資安界慣用的「打蛇打七寸」策略，因此刻意避開單點故障的風險，讓通訊流量在四個截然不同的頻道中冗餘備援 ：

1. Solana 區塊鏈交易：殭屍網路利用公開的 Solana 區塊鏈作為秘密的中繼站，由於帳本具有分散式與不可篡改的特性，要對其進行審查或關閉極其困難 。
2. BitTorrent 分散式雜湊表：藉助點對點檔案分享網路，提供另一個去中心化且韌性極強的通訊管道 。
3. Google 日曆的「死信箱」：駭客將 Google 日曆的活動標題當作隱密的留言板，用來張貼新的攻擊指令，將惡意流量完美藏匿於一個被廣泛使用的合法服務中 。
4. 傳統 VPS 伺服器：在這些新穎手法的背後，駭客仍保有位於商用虛擬私人伺服器上的傳統基礎設施，作為最後一道保險 。

這種分層架構正是 Glassworm 「不死」的核心秘密。即使資安人員成功癱瘓其中一、兩個頻道，其餘的頻道依舊能完好運作，讓駭客能迅速重新掌控全局 。

精準同步的瓦解策略：如何一劍封喉

瓦解這類架構的唯一生路，就是對所有四條命脈發動零時差的同步打擊。CrowdStrike 直言不諱地描述了這項挑戰：「要瓦解這種架構需要極度的精準與時間掌控。單單拿下一個頻道，只會讓其他頻道繼續運作，讓攻擊者得以迅速重建其控制網。四個頻道必須在協調一致的行動中同時被瓦解」。

在台灣時間 5 月 26 日晚間 10 點，這個資安聯盟執行了天衣無縫的同步一擊，一舉切斷了殭屍網路操縱者與其全球受感染機器之間的聯繫 。這並不代表 GlasswormRAT 惡意軟體會自動從受感染的端點上移除，而是徹底剝奪了駭客下達新指令、或是投放新惡意酬載的能力 。儘管該惡意軟體在全球未知數量的機器上仍是一項潛在威脅，但這次行動已有效癱瘓了這個殭屍網路的主動攻擊能力 。

幕後黑手與歸因分析

CrowdStrike 的情報評估將 Glassworm 行動歸因於很可能來自俄羅斯的網路犯罪份子 。該集團將目標鎖定在開源軟體供應鏈的策略，標誌著威脅行為者戰略的一次危險進化：從直接攻擊終端使用者組織，轉為直接毒害這些組織所依賴的開發者與工具。

現在該怎麼辦？關鍵的補救措施

這次的瓦解行動是一場關鍵的防禦勝利，但絕非解藥。CrowdStrike 已具體建議了一系列補救步驟，供組織找出並清除受感染系統 。

• 掃描惡意軟體：使用 CrowdStrike Falcon 的組織應立即掃描自身環境，尋找 GlasswormRAT 惡意軟體的入侵指標。
• 檢查入侵指標 (IoCs)：資安團隊應審查網路日誌，確認是否有連線到一個由 CrowdStrike 營運的污水槽 IP 位址 (164.92.88[.]210)，並利用 CrowdStrike 公開部落格文章中所提供的 YARA 規則來獵捕感染情況 。
• 完整重建系統：要一勞永逸地根除受感染的機器，唯一可靠的方法就是從已知良好、乾淨的映像檔進行完整的系統重建 。
• 憑證輪換：所有在受感染開發者工作站上可能已被存取過的任何憑證、權杖和秘密金鑰，都必須即刻進行輪換，以防止更進一步的未授權存取 。