CrowdStrike a neutralisé, en collaboration avec Google, un botnet Glassworm qui ciblait les développeurs.
L’entreprise de cybersécurité CrowdStrike a démantelé le botnet Glassworm en collaboration avec Google et la Shadowserver Foundation. Le logiciel malveillant se propageait depuis début 2025 via des paquets logiciels infectés et visait spécifiquement les développeurs.
Selon CrowdStrike, les quatre canaux du botnet ont été désactivés simultanément mardi. Les attaquants ont ainsi perdu le contrôle des systèmes infectés et ne pouvaient plus propager de nouveaux logiciels malveillants.
Un ver qui se propageait via des logiciels
Glassworm a été découvert pour la première fois en octobre 2025 et se distinguait par ses méthodes de propagation avancées. Le malware infectait des extensions pour Visual Studio Code sur OpenVSX, et des paquets npm et Python ont également été compromis.
Grâce à des identifiants de connexion volés, Glassworm a pu compromettre plus de 300 dépôts GitHub. Le ver fonctionnait sur Windows, macOS et Linux et installait en complément son propre outil d’accès à distance nommé GlasswormRAT.
Le logiciel malveillant dérobait des mots de passe, des clés API et d’autres données sensibles. De plus, les systèmes infectés pouvaient être utilisés comme serveurs mandataires (proxys) pour des activités criminelles.
Blockchain et Google Calendar
Glassworm utilisait des serveurs de commande partiellement dissimulés via la blockchain Solana, et Google Calendar servait de support pour des instructions chiffrées.
Par ailleurs, le malware exploitait un réseau décentralisé BitTorrent Distributed Hash Table (DHT) ainsi que des serveurs VPS traditionnels pour diffuser des logiciels malveillants supplémentaires. Selon CrowdStrike, l’intégralité de l’infrastructure devait être désactivée simultanément pour empêcher les attaquants de redevenir rapidement opérationnels. Tous les systèmes encore infectés par Glassworm se connectent désormais automatiquement à une adresse IP inoffensive gérée par CrowdStrike. Il est conseillé aux entreprises de vérifier les journaux réseau et de terminaux pour détecter d’éventuelles connexions à cette adresse.