Am 26. Mai 2026 um 14:00 Uhr GMT startete das CrowdStrike-Team in Zusammenarbeit mit Google und der Shadowserver Foundation eine gleichzeitige Offensive gegen Befehls- und Kontrollkanäle Glassworm-Malware und Botnetwodurch Bediener von ihren infizierten Maschinen abgeschnitten werden.
Diese Bedrohung ist seit Anfang 2025 aktiv und richtet sich speziell an Entwickler über beschädigte Erweiterungen und Pakete. Die Infrastruktur wurde besonders belastbar ausgelegt.
Glassworm-Botnetz infiziert Entwickler
Glassworm nutzte eine mehrstufige Angriffsstrategie, um Entwicklungsumgebungen zu infiltrieren.
Betreiber veröffentlichten schädliche VSCode-Erweiterungen auf dem OpenVSX-Marktplatz und tarnten sie als beliebte Tools. Diese bösartigen Erweiterungen betrafen nicht nur VSCode, sondern auch Cursor, Positron, Positron und sogar VSCodium.
Gleichzeitig verbreitete sich die Bedrohung über kompromittierte npm- und Python-Pakete und führte bei der Installation von Abhängigkeiten Schadcode aus. Mehr als 300 GitHub-Repositories wurden mit gestohlenen Entwickler-Zugangsdaten gehackt.
Das Endziel war der Einsatz von GlasswormRATein Fernzugriffstool, das Anmeldeinformationen und Kryptowährungs-Wallets unter Windows, macOS und Linux stehlen kann.
Infrastruktur schwer abzubauen
Die Widerstandsfähigkeit von Glassworm liegt in seiner mehrkanaligen Befehls- und Kontrollarchitektur, die darauf ausgelegt ist, typischen Deaktivierungsversuchen zu widerstehen.
Die Betreiber nutzten verschiedene Techniken, um ihre Server zu verstecken. CrowdStrike stellt fest, dass „ Die Kombination aus Blockchain, Peer-to-Peer und legitimen Webdiensten schützte die eigentlichen Befehls- und Kontrollserver hinter mehreren Indirektionsebenen „.
Die Infrastruktur basierte auf vier Säulen : die Solana-Blockchain mit Speicherung von Serveradressen in Transaktionen, das BitTorrent-DHT-Netzwerk zum Abrufen von Konfigurationsdaten, Google Kalender-Ereignisse, direkte Verbindungen zu herkömmlichen Servern.
Ein Verdacht auf russische Herkunft
Betreiber von Glaswürmern sollen ihren Sitz in Russland haben. Hinweise wie das Stoppen der Schadsoftware auf Maschinen in einigen Ländern und russische Kommentare im Quellcode deuten auf diesen Ursprung hin.
Nach der Abschaltung kommunizieren nun alle infizierten Computer über eine harmlose IP-Adresse, die von CrowdStrike kontrolliert wird.
