CrowdStrike отключила ботнет Glassworm, атаковавший разработчиков через расширения VSCode и пакеты npm

Компания CrowdStrike совместно с Google и Shadowserver Foundation провела скоординированную операцию по отключению Glassworm — ботнета, который с начала 2025 года заражал разработчиков через троянизированные расширения для редакторов кода и пакеты в открытых репозиториях. Инфраструктура управления использовала блокчейн Solana, DHT BitTorrent и Google Calendar в качестве «мёртвых ящиков» и считалась устойчивой к традиционным методам отключения.

26 мая 2026 года команда CrowdStrike Counter Adversary Operations совместно с Google и Shadowserver Foundation отключила все четыре канала управления (C2) ботнета Glassworm. По данным CrowdStrike, после операции заражённые машины не могут получать новые инструкции и полезные нагрузки.

Glassworm — это самораспространяющийся вредонос, нацеленный на цепочку поставок ПО с открытым исходным кодом. Заражение происходило через троянизированные расширения для VSCode, а также для редакторов Cursor, Positron, Windsurf и VSCodium, опубликованные в реестре OpenVSX, и через скомпрометированные пакеты npm и Python — вредоносный код исполнялся через postinstall-хуки и setup-скрипты при обычной установке зависимостей.

На заражённой машине вредонос собирал токены npm, учётные данные GitHub и Git, ключи доступа OpenVSX, а затем автоматически использовал их для компрометации новых пакетов и расширений: каждая жертва становилась плацдармом для дальнейшего распространения. Отдельная особенность кампании — внедрение полезной нагрузки в исходный код с помощью невидимых символов Unicode (вариативные селекторы), что затрудняло обнаружение при ревью кода.

Инфраструктура Glassworm была построена в расчёте на устойчивость к отключению и использовала четыре независимых канала разрешения адресов C2-серверов: транзакции в блокчейне Solana, где адреса серверов кодировались в поле memo и работали как публичный «мёртвый ящик»; запросы в DHT-сеть BitTorrent для получения конфигурации; заголовки событий в Google Calendar в качестве ещё одного «мёртвого ящика»; прямые подключения к C2 на коммерческих VPS. Из-за опоры на неизменяемый блокчейн ранние публикации называли инфраструктуру «неубиваемой».

Чтобы нейтрализовать ботнет, все четыре канала пришлось отключить одновременно. По сведениям iTnews, CrowdStrike провела Eclipse-атаку на DHT, чтобы перекрыть поток конфигурационных данных, и осуществила «перехват» нескольких кошельков в Solana; технические подробности обоих действий компания не раскрывает. Заражённые машины теперь обращаются к безопасному IP-адресу под контролем CrowdStrike — администраторам рекомендуется проверить сетевые логи и телеметрию конечных точек, чтобы выявить скомпрометированные рабочие станции разработчиков.

Первая волна Glassworm была зафиксирована в октябре 2025 года, когда исследователи обнаружили семь скомпрометированных расширений в OpenVSX с суммарно около 35 800 загрузок; в марте 2026 года кампания возобновилась и затронула более 400 пакетов, репозиториев и расширений на GitHub, npm и OpenVSX.