Le 27 mai, CrowdStrike, en collaboration avec Google et l’organisation à but non lucratif Shadowserver spécialisée dans la surveillance d’Internet, a annoncé avoir mis hors service le botnet Glassworm. Cette infrastructure criminelle, utilisée depuis environ deux ans, visait les développeurs de logiciels open source afin d’y injecter des malwares. L’opération a permis de couper quatre canaux de commande et de contrôle dont les cybercriminels se servaient pour transmettre des charges malveillantes et conserver l’accès aux machines infectées. Selon le rapport de CrowdStrike, cette infrastructure C2 présentait une grande diversité : elle faisait appel à la blockchain Solana, au réseau pair-à-pair BitTorrent, au calendrier Google ainsi qu’à des serveurs privés virtuels classiques, le tout dans le but de dissimuler le trafic malveillant au sein des activités réseau légitimes. Au moment de l’intervention, les attaquants avaient déjà compromis plus de 300 dépôts GitHub. Ils utilisaient trois vecteurs d’infection principaux : la publication d’extensions truquées sur des marchés dédiés aux outils de développement ; des publicités malveillantes insérées dans les résultats de recherche payants, présentant des malwares sous forme d’outils de développement légitimes ; enfin, le remplissage de champs d’identifiants à l’aide de mots de passe volés précédemment, permettant de prendre le contrôle des comptes des développeurs et d’insérer directement du code malveillant dans leurs projets.
CrowdStrike a qualifié cette campagne d’évolution stratégique délibérée des attaquants, qui ciblent désormais spécifiquement les acteurs humains de la chaîne d’approvisionnement logicielle. Les autorités légales ou techniques justifiant cette intervention n’ont pas été divulguées ; un porte-parole de CrowdStrike n’a pas répondu immédiatement aux demandes de commentaire. Cette neutralisation du botnet Glassworm fait suite à une série d’incidents similaires : la semaine dernière, une autre campagne baptisée « Mini Shai-Hulud » a compromis des dizaines de paquets open source très populaires, servant ensuite à pénétrer le poste de travail d’un développeur d’OpenAI ; en mars, un groupe soupçonné d’être nord-coréen avait quant à lui piraté la bibliothèque JavaScript Axios, largement utilisée, afin de diffuser des malwares auprès de ses millions d’utilisateurs.