CrowdStrike heeft samen met Google en de Shadowserver Foundation een internationaal botnet ontmanteld dat zich specifiek richtte op softwareontwikkelaars en open source softwareketens. Het netwerk, dat opereerde onder de naam Glassworm, gebruikte besmette software-extensies, gemanipuleerde softwarepakketten en gestolen ontwikkelaarsaccounts om toegang te krijgen tot ontwikkelomgevingen en CI/CD-pijplijnen.
Volgens CrowdStrike markeert de operatie een verschuiving in het dreigingslandschap. Aanvallers richten zich steeds nadrukkelijker op ontwikkelaars zelf, omdat compromittering van één ontwikkelomgeving gevolgen kan hebben voor duizenden downstream-gebruikers en organisaties.
De campagne zou al sinds begin 2025 actief zijn geweest. Glassworm verspreidde onder meer kwaadaardige extensies via de OpenVSX-marktplaats, vermomd als populaire hulpmiddelen voor programmeurs. De extensies werkten niet alleen met Visual Studio Code, maar ook met afgeleide ontwikkelomgevingen zoals Cursor, Windsurf, Positron en VSCodium.
Daarnaast werden besmette npm- en Python-packages ingezet. Kwaadaardige code werd daarbij automatisch uitgevoerd tijdens reguliere dependency-installaties. CrowdStrike stelt verder dat meer dan driehonderd GitHub-repositories werden aangepast nadat ontwikkelaarsaccounts eerder waren buitgemaakt.
De malware draaide op Windows, macOS en Linux-systemen en bevatte functionaliteit voor credential harvesting, datadiefstal en remote access. Een belangrijk onderdeel van de operatie was GlasswormRAT, een op Node.js gebaseerde remote-access-tool waarmee systemen op afstand konden worden aangestuurd.
Volgens CrowdStrike werden besmette ontwikkelaarsmachines bovendien ingezet als proxyknooppunten voor criminele activiteiten. De aanvallers gebruikten daarbij onder meer verborgen Unicode-codeinjecties om schadelijke code minder zichtbaar te maken voor ontwikkelaars en beveiligingssoftware.
Trend van supplychain-aanvallen
De ontmanteling van Glassworm komt op een moment waarop aanvallen via softwareketens sterk toenemen, meldt The Register. Daarbij richten aanvallers zich steeds vaker op ontwikkelomgevingen, open source repositories en package-ecosystemen zoals npm en PyPI.
Opvallend aan Glassworm was vooral de infrastructuur achter het botnet. De operators maakten gebruik van meerdere command-and-control-kanalen tegelijk om verstoring moeilijker te maken.
Zo werden adressen van command-and-controlservers verborgen in memo-velden van transacties op de Solana-blockchain. Daarnaast gebruikte de malware de gedistribueerde hash table van BitTorrent om configuratiegegevens op te halen. Ook Google Calendar werd misbruikt: eventtitels fungeerden als opslaglocatie voor Base64-gecodeerde paden naar command-and-controlservers.
Naast deze indirecte methoden draaide Glassworm ook op traditionele VPS-infrastructuur voor het afleveren van malwarepayloads.
Volgens CrowdStrike was een gecoördineerde operatie noodzakelijk om het netwerk uit te schakelen. Alleen het offline halen van afzonderlijke componenten zou onvoldoende zijn geweest, omdat andere communicatiekanalen dan actief waren gebleven. Daarom werden alle vier de command-and-controlroutes gelijktijdig aangepakt.
Google bevestigde zijn betrokkenheid via John Hultquist van Google Threat Intelligence Group. Volgens hem werkt het bedrijf samen met partners om aanvallers harder te raken wanneer zij Google-diensten misbruiken of gebruikers van het platform aanvallen.
Russische oorsprong vermoed
CrowdStrike vermoedt dat de operators achter Glassworm uit Rusland afkomstig zijn, al zegt het bedrijf daarvoor geen sluitend bewijs te hebben. De malware controleerde onder meer de taalinstellingen, tijdzone en regionale configuratie van systemen en beëindigde zichzelf wanneer een systeem zich in een GOS-land bevond. Zulke controles worden vaker gebruikt door cybercriminelen uit Rusland en omliggende regio’s om lokale autoriteiten te vermijden.
Daarnaast trof CrowdStrike Russischtalige opmerkingen in de broncode aan. Het bedrijf merkt wel op dat dergelijke aanwijzingen ook misleidend kunnen zijn of afkomstig kunnen zijn van AI-tools.
Volgens CrowdStrike onderstreept Glassworm hoe kwetsbaar moderne softwareketens nog altijd zijn. Aanvallers kunnen via ecosystemen als npm, PyPI en OpenVSX binnen korte tijd grote aantallen ontwikkelaars bereiken. Detectie achteraf is volgens het bedrijf vaak onvoldoende, omdat schadelijke packages zich al hebben verspreid voordat beveiligingssoftware alarm slaat.