GlassWorm: botnet atakujący deweloperów open source. Jak się bronić?
Botnet GlassWorm, który przez ponad pół roku infekował środowiska programistów, został rozbity. Atakujący wykorzystywali m.in. blockchain Solana i Google Calendar do sterowania malwarem. Wyjaśniamy, jak działał i jak się chronić.
Pod koniec maja 2026 roku firma CrowdStrike we współpracy z Google i Shadowserver Foundation przerwała działanie botnetu GlassWorm, który od października 2025 roku atakował ekosystem open source. Malware był wymierzony przede wszystkim w programistów, a jego celem – kradzież danych uwierzytelniających, dostęp do repozytoriów i przejęcie kontroli nad maszynami deweloperskimi. Dla firm korzystających z otwartego oprogramowania oznacza to ryzyko skażenia łańcucha dostaw.
Czym jest GlassWorm i jak działał?
GlassWorm to samorozprzestrzeniające się złośliwe oprogramowanie, które po raz pierwszy zauważono w październiku 2025 roku. Jak podaje SecurityWeek, botnet wykorzystywał aż cztery kanały dowodzenia i kontroli (C2): blockchain Solana, Google Calendar, sieć BitTorrent oraz tradycyjne serwery VPS. Adresy C2 były kodowane w polach memo transakcji blockchain, których nie można modyfikować ani usuwać. Google Calendar służył do przechowywania ścieżek C2 zakodowanych w Base64 w tytułach wydarzeń, a BitTorrent do przechowywania danych konfiguracyjnych. „Połączenie blockchain, peer-to-peer i legalnych usług internetowych jako warstw rozdzielczości zostało zaprojektowane tak, by być odporne na przejęcia – dynamiczny front chroniący rzeczywiste serwery C2 za wieloma warstwami pośrednictwa” – wyjaśnia CrowdStrike.
Metody rozprzestrzeniania i infekcji
GlassWorm rozprzestrzeniał się głównie przez trojanizowane rozszerzenia do Visual Studio opublikowane w marketplace OpenVSX. W listopadzie 2025 roku pojawił się także na GitHubie, a w marcu 2026 roku skompromitowano kilka projektów w repozytorium PyPI. Co istotne, malware wykorzystywał selektory wariantów Unicode do ukrywania kodu w edytorach – był niewidoczny dla ludzkiego oka. „Operatorzy GlassWorm są dobrze finansowani i wytrwali. Przez ponad rok nieustannie ewoluowali: przyjmowali nowe języki programowania (od JavaScript przez Rust do Zig), rozszerzali się na kolejne ekosystemy pakietów (VSCode, npm, PyPI, GitHub) i budowali redundantną infrastrukturę zaprojektowaną tak, by przetrwać próby przejęcia” – czytamy w raporcie CrowdStrike.
Skutki dla deweloperów i firm
GlassWorm nie tylko kradł dane uwierzytelniające (m.in. do NPM, GitHub i Git), ale także wykradał środki z dziesiątek rozszerzeń kryptowalutowych. Ponadto instalował serwery proxy SOCKS i ukryte serwery VNC, umożliwiające zdalny dostęp do zainfekowanych maszyn. „Dostęp atakujących do skradzionych poświadczeń stwarzał ciągłe ryzyko poważnych kompromitacji łańcucha dostaw wykraczających poza samych deweloperów” – ostrzega CrowdStrike. Każda organizacja, która korzysta z oprogramowania tworzonego przez zainfekowanych programistów, mogła zostać pośrednio zaatakowana.
Takedown i co dalej?
Dzięki jednoczesnemu przejęciu wszystkich czterech kanałów C2 odcięto operatorom dostęp do zainfekowanych maszyn i możliwość dostarczania nowych poleceń. CrowdStrike poinstruował zainfekowane komputery, by łączyły się z nieszkodliwym adresem IP 164.92.88[.]210. Organizacje powinny sprawdzić, czy ich systemy nie nawiązują połączeń z tym adresem – może świadczyć o infekcji. CrowdStrike podkreśla: „Dopóki środowiska deweloperskie, potoki budowania i repozytoria kodu pozostają słabo chronione, każda organizacja konsumująca oprogramowanie dziedziczy ryzyko wszystkich, którzy je wytwarzają”.
Jak się chronić?
- Korzystaj wyłącznie z oficjalnych marketplace’ów – unikaj instalowania rozszerzeń z niezweryfikowanych źródeł.
- Regularnie aktualizuj narzędzia deweloperskie – luki w starszych wersjach są częstym wektorem ataku.
- Monitoruj ruch sieciowy – nietypowe połączenia do adresów IP związanych z botnetem mogą być sygnałem infekcji.
- Stosuj zasadę najmniejszych uprawnień – ogranicz dostęp do repozytoriów i kluczy prywatnych.
- Szkol zespół – świadomość zagrożeń związanych z trojanizowanymi pakietami jest kluczowa.
GlassWorm pokazuje, że ataki na łańcuch dostaw oprogramowania stają się coraz bardziej wyrafinowane. Deweloperzy i administratorzy powinni traktować środowiska programistyczne jako krytyczne zasoby wymagające takiej samej ochrony jak serwery produkcyjne.
