GlassWorm: takedown del 26/5 neutralizza 35.000 dev compromessi

CrowdStrike, in coordinamento con Google e la Shadowserver Foundation, ha disattivato simultaneamente tutti e quattro i canali di comando e controllo di GlassW…

Contenuto

GlassWorm: takedown del 26/5 neutralizza 35.000 dev compromessi 300 repository GitHub." />

CrowdStrike, in coordinamento con Google e la Shadowserver Foundation, ha disattivato simultaneamente tutti e quattro i canali di comando e controllo di GlassWorm il 26 maggio 2026 alle 14:00 UTC. L'operazione ha neutralizzato una campagna supply chain attiva dai primi mesi del 2025 che aveva compromesso circa 35.000 installazioni su workstation di sviluppatori e avvelenato oltre 300 repository GitHub. La posta in gioco supera il singolo malware: GlassWorm dimostra che l'ambiente di sviluppo è diventato un perimetro d'attacco primario, dove la compromissione di un IDE o di un pacchetto npm si propaga a valle a velocità di pipeline CI/CD.

Punti chiave

CrowdStrike, Google e Shadowserver Foundation hanno condotto un takedown tecnico-operativo simultaneo su quattro canali C2 eterogenei il 26 maggio 2026, rendendo le macchine compromesse incapaci di ricevere nuove istruzioni o payload.
GlassWorm ha compromesso circa 35.000 installazioni developer entro ottobre 2025 e ha avvelenato oltre 300 repository GitHub utilizzando credenziali rubate, con estensioni trojanizzate presenti sia sul Microsoft VS Code Marketplace che su OpenVSX.
L'architettura C2 impiegava tecnologie decentralizzate e servizi legittimi in combinazione: Solana blockchain memo fields, BitTorrent DHT, Google Calendar event titles e server VPS commerciali.
L'attributione a criminali informatici probabilmente russi si basa su terminazione automatica su sistemi CIS e commenti in russo nel codice sorgente, con livello di confidenza definito "medium" a causa del rischio di mimicry.

Il vettore: estensioni fidate su marketplace ufficiali

GlassWorm ha sfruttato la trust relationship implicita negli ecosistemi developer. Secondo CrowdStrike, gli operatori hanno distribuito estensioni VSCode trojanizzate attraverso il Microsoft VS Code Marketplace e la piattaforma OpenVSX, entrambi marketplace ufficiali. Le estensioni malevole targettavano anche fork e derivati dell'editor: Cursor, Positron, Windsurf e VSCodium.

Il meccanismo di propagazione non si è limitato al primo contatto. Le capacità di auto-propagazione del malware, documentate da Rescana, hanno permesso di utilizzare sistemi developer già compromessi per pubblicare automaticamente nuove estensioni infette. Il payload principale, GlasswormRAT, è un RAT cross-platform in Node.js che opera su Windows, macOS e Linux con comunicazione C2 via WebSocket.

Quattro canali C2 e l'ingegneria della resilienza

La caratteristica distintiva di GlassWorm è l'architettura C2 progettata per resistere ai takedown tradizionali. CrowdStrike ha verificato quattro canali simultanei di risoluzione e comando: i memo fields della blockchain Solana, la Distributed Hash Table (DHT) di BitTorrent con chiavi pubbliche hardcoded, i titoli di eventi Google Calendar codificati in Base64, e server VPS commerciali. Come riporta CrowdStrike: "La combinazione di blockchain, peer-to-peer e servizi web legittimi come layer di risoluzione era progettata per essere resiliente contro i takedown — un fronte dinamico che protegge i server C2 effettivi dietro molteplici layer di indirezione".

Questa struttura ha reso l'operazione del 26 maggio necessariamente simultanea. La disattivazione sequenziale di un singolo canale avrebbe permesso agli operatori di reindirizzare le macchine compromesse attraverso i rimanenti in tempi brevi. Adam Meyers, SVP di Counter Adversary Operations presso CrowdStrike, ha sintetizzato la strategia: "L'obiettivo più ampio è una pressione sostenuta che costringe l'avversario a spendere tempo, risorse ed energia operativa per reconstituire l'infrastruttura invece di colpire vittime".

"CrowdStrike ha giocato in attacco e portato il combattimento all'avversario. Il team Counter Adversary Operations ha disrotto un botnet globale costruito per la resilienza, ingegnerizzato con quattro distinti canali di comando e controllo per essere quasi impossibile da abbattere" — Alessandro Guggino, Senior Security Researcher, CrowdStrike

Cosa rubava: credenziali, crypto e capacità di movimento laterale

Una volta attivo, GlasswormRAT eseguiva ricerche sistematiche sull'host per credenziali developer: token GitHub, npm, OpenVSX, e circa 50 tipi di wallet crittografici. Il RAT includeva funzionalità di furto dati, proxy SOCKS, hidden VNC (HVNC) per controllo remoto invisibile all'utente, ed esecuzione remota tramite WebRTC o processi Node.js spawnati.

La compromissione delle credenziali non era il fine ultimo ma il meccanismo di espansione. Con accesso a repository GitHub e package registry, gli operatori potevano avvelenare codice a valle, inserendo hook post-installazione in pacchetti npm e Python. Il numero di repository GitHub compromessi supera i 300, secondo i dati condivisi da CrowdStrike. Il dato non quantifica tuttavia l'estensione della compromissione a valle: quante organizzazioni downstream abbiano installato pacchetti avvelenati rimane non determinato nel dossier.

L'attributione: russi, ma con riserva metodologica

L'attribuzione a criminali informatici probabilmente russi si fonda su indicatori tecnici verificati: il malware termina automaticamente l'esecuzione su sistemi appartenenti alla Comunità degli Stati Indipendenti (CIS), e il codice sorgente contiene commenti in lingua russa. CrowdStrike classifica l'attribuzione come "likely Russia-based cybercriminals". Rescana aggiunge una nota di cautela, segnalando che il livello di confidenza è "medium" e che i marcatori linguistici e geografici potrebbero essere deliberatamente mimati per depistaggio.

Nessuna sovrapposizione infrastrutturale collega GlassWorm ad altre campagne supply chain documentate nello stesso periodo, come TeamPCP/Shai-Hulud. Il dossier non riporta connessioni operative con APT cinesi o altri actor statali.

Cosa fare adesso

La disattivazione dei canali C2 rende le macchine precedentemente compromesse incapaci di ricevere nuove istruzioni, ma non elimina il malware residente né sanifica le credenziali già esfiltrate. Le azioni prioritarie derivano direttamente dai meccanismi documentati:

Verifica delle estensioni IDE installate: controllare la provenienza di tutte le estensioni VSCode, Cursor, Positron, Windsurf e VSCodium attive, con rimozione di quelle non essenziali o di autore non verificabile.
Rotazione immediata dei token e credenziali developer: rigenerare token GitHub, npm, OpenVSX e chiavi di accesso a registry utilizzati su workstation di sviluppo esposte nel periodo early 2025 — maggio 2026.
Audit dei repository con accesso recente: ispezionare i commit e le release di progetti GitHub gestiti da account potenzialmente compromessi, con focus su hook post-installazione e modifiche a pacchetti npm/Python.
Ispezione dei wallet crittografici: verificare trasferimenti non autorizzati sui ~50 tipi di wallet targettati da GlasswormRAT, dato che l'esfiltrazione delle chiavi private è documentata come funzionalità attiva del malware.

Perché il takedown cambia il paradigma della difesa

GlassWorm rappresenta una mutazione del perimetro aziendale. Non attacca le organizzazioni finali frontalmente: infiltra l'upstream, la workstation dello sviluppatore, e si propaga attraverso la supply chain del software con la velocità e la legittimità dei processi di distribuzione automatica. L'operazione del 26 maggio è rilevanta non solo per la scala — circa 35.000 installazioni — ma per la metodologia: un takedown coordinato multi-partner contro un'infrastruttura decentralizzata, dove la simultaneità tecnica sostituisce la seizure giudiziaria tradizionale.

Il limite del dossier resta sulla destra del fiume: non emergono arresti, identificazioni di operatori, o quantificazione del dato effettivamente sottratto oltre alle credenziali. Gli operatori possono reconstituire l'infrastruttura. La linea di fondo è che la sicurezza del software inizia, oggi, sulla macchina di chi lo scrive — e che i marketplace di estensioni, i registry di pacchetti e le piattaforme di hosting di codice sono diventati terreno di competizione attiva tra operatori criminali e team di counter-adversary operations.

FAQ

Il takedown del 26 maggio ha eliminato completamente la minaccia?

No. L'operazione ha disattivato i canali C2, rendendo le macchine compromesse incapaci di ricevere nuove istruzioni. Il malware residuo persiste sui sistemi infetti, e gli operatori conservano la capacità di reconstituire l'infrastruttura con nuovi canali di comando e controllo.

Le estensioni malevole erano su marketplace ufficiali o alternativi?

Entrambi. Le estensioni trojanizzate erano presenti sul Microsoft VS Code Marketplace e sulla piattaforma OpenVSX, marketplace entrambi considerati ufficiali. Gli operatori hanno inoltre targettato fork dell'editor come Cursor, Positron, Windsurf e VSCodium.

Posso verificare se la mia workstation è stata compromessa?

Il dossier non specifica indicatori di compromissione (IoC) pubblicati o tool di scansione rilasciati. CrowdStrike non ha reso disponibili, nel materiale citato, hash o signature per verifica indipendente. La verifica procede attraverso audit manuale delle estensioni installate, rotazione credenziali e ispezione dei repository con accesso recente.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.