Trong một chiến dịch phối hợp vừa qua, CrowdStrike, Google và The Shadowserver Foundation đã cắt đứt quyền truy cập của những kẻ điều hành mạng botnet vào 4 kênh C2 riêng biệt.
Các chiến dịch Glassworm đã diễn ra liên tục từ tháng 10/2025 và ban đầu nhắm mục tiêu vào các nhà phát triển thông qua các tiện ích mở rộng độc hại trên OpenVSX và Microsoft VS Code, nhằm đánh cắp ví tiền điện tử và thông tin đăng nhập của nhà phát triển.
Các chuỗi tấn công sau đó lan rộng sang các kho lưu trữ GitHub và các gói NPM, với một chiến dịch vào tháng 3/2026 đã ảnh hưởng đến hơn 400 thành phần phần mềm. Trong một cuộc tấn công gần đây, những kẻ điều hành Glassworm đã cài đặt hàng chục tiện ích mở rộng không hoạt động trên OpenVSX, những tiện ích này sẽ kích hoạt thành phần độc hại sau khi cập nhật.
Một trong những lý do khiến mối đe dọa Glassworm tồn tại lâu đến vậy là nhờ cơ sở hạ tầng C2 của nó, dựa trên các kênh liên lạc phi truyền thống rất khó bị vô hiệu hóa.
CrowdStrike lưu ý: “Sự kết hợp giữa blockchain, mạng ngang hàng (peer-to-peer) và các dịch vụ web hợp pháp đóng vai trò là các lớp phân giải được thiết kế để có khả năng chống lại takedown - nhằm bảo vệ các máy chủ C2 thực sự đằng sau nhiều lớp gián tiếp”.
Các nhà nghiên cứu cho biết, những kẻ điều hành Glassworm đã xây dựng cơ sở hạ tầng của chúng để có khả năng phục hồi cao, đồng thời nhấn mạnh việc đánh sập mạng botnet này đòi hỏi phải tấn công đồng thời cả 4 kênh C2:
- Solana blockchain: Địa chỉ máy chủ C2 mã hóa trong trường ghi chú của các giao dịch blockchain, có thể truy cập công khai và không thể bị vô hiệu hóa bằng các phương pháp thông thường.
- BitTorrent Distributed Hash Table (DHT): GlasswormRAT truy vấn mạng ngang hàng BitTorrent để lấy dữ liệu cấu hình được lưu trữ dựa trên các khóa công khai mã hóa cứng.
- Google Calendar công cộng: Glassworm sử dụng tiêu đề sự kiện trên Google Calendar làm điểm liên lạc bí mật cho các đường dẫn C2 mã hóa Base64.
- Kết nối máy chủ trực tiếp: Cơ sở hạ tầng C2 truyền thống được lưu trữ trên các nhà cung cấp VPS thương mại đóng vai trò là cơ chế phân phối dữ liệu cuối cùng.
Kiến trúc C2 của Glassworm
Theo CrowdStrike, do kiến trúc chặt chẽ như vậy, việc làm gián đoạn một kênh duy nhất sẽ có ít tác động đến hoạt động của Glassworm, vì quá trình liên lạc có thể chuyển sang kênh khác, cho phép kẻ tấn công duy trì quyền kiểm soát. Vì vậy, cần phải vô hiệu hóa trên cả 4 kênh trên để các máy bị nhiễm không thể nhận được các chỉ thị hoặc dữ liệu mới.
Sau các nỗ lực ngăn chặn các kênh C2, hiện tất cả các máy bị ảnh hưởng trong cuộc tấn công Glassworm đều đang gửi tín hiệu đến địa chỉ IP 164[.]92[.]88[.]210 do CrowdStrike quản trị và vận hành.
Các tổ chức được khuyến cáo nên tìm kiếm dấu hiệu mạng này và thực hiện các biện pháp khắc phục ngay lập tức. Ngoài ra, các nhà nghiên cứu đã công bố các tập luật YARA để xác nhận sự lây nhiễm trên các máy chủ đáng ngờ.
