Die Infrastruktur hinter GlassWorm ist gefallen. In einer koordinierten Aktion haben drei große Akteure – der Sicherheitsanbieter CrowdStrike, Googles Threat Intelligence Team und die Shadowserver Foundation – alle vier Command-and-Control-Kanäle der Malware gleichzeitig neutralisiert. Damit können infizierte Systeme keine neuen Anweisungen oder Payloads mehr empfangen.
GlassWorm war ein besonders raffiniertes Bedrohungszenario für die Developer-Community: Die Angreifer verteilten trojanisierte VS-Code-Extensions sowohl über den offiziellen Microsoft VS Code Marketplace als auch über Open VSX – wodurch auch Nutzer von VS-Code-Forks wie Cursor, Positron, Windsurf und VSCodium getroffen wurden. Parallel dazu wurden manipulierte npm- und Python-Pakete in die Ökosysteme eingepflanzt.
Das Ziel war klar: Einmal auf dem Entwickler-Rechner installiert, dienten die Malware-Varianten als Einfallstor für ein Daten-Diebstahl-Framework. Es extrahierte Zugangsdaten (GitHub-, NPM- und OpenVSX-Token, Krypto-Wallets), installierte eine bösartige Chrome-Extension zur Erfassung von Screenshots, Tastaturanschlägen und Zwischenablage-Inhalten und verwandelte infizierte Hosts in versteckte Netzwerk-Infrastruktur: SOCKS-Proxies, Hidden-VNC-Server und Remote-Execution-Knoten über WebRTC oder Node.js-Prozesse.
Besonders bemerkenswert war die Resilienz-Architektur: Die vier C2-Kanäle basierten auf einer Kombination von Blockchain, Peer-to-Peer-Systemen und legitimen Webservices als Umleitungsebenen – ein System, das speziell gegen Takedowns gehärtet werden sollte. Trotzdem gelang die gleichzeitige Neutralisierung aller vier Kanäle.
Die Bilanz ist beeindruckend und besorgniserregend zugleich: Über 300 GitHub-Repositories wurden mit gestohlenen Developer-Credentials vergiftet. CrowdStrike ordnet die Aktivitäten russischen Cyberkriminellen zu – basierend auf Ausführungsstops in CIS-Ländern und russischen Kommentaren im Code.
Für deutsche Unternehmen und Entwickler liegt die Warnung auf der Hand: Die Softwarelieferkette bleibt eine der verwundbarsten Angriffsachsen überhaupt. Jede Organisation, die Open-Source-Komponenten nutzt, erbt automatisch die Sicherheitsrisiken aller ihre Abhängigkeiten. Das BSI und das Bundesamt für Sicherheit in der Informationstechnik sollten diese Vorfälle zum Anlass nehmen, verstärkte Guidance zu Developer-Environment-Security und Supply-Chain-Validation bereitzustellen.