Google participa en el desmantelamiento de botnets que amenazan la seguridad de la cadena de suministro de software. (Biblioteca de imágenes ilustrativas)
Una operación internacional ha desmantelado finalmente una botnet utilizada por los ciberdelincuentes para atacar a los desarrolladores de software de código abierto. Un esfuerzo conjunto de Google, CrowdStrike y la organización sin fines de lucro Shadowserver hizo posible interrumpir una campaña cibernética conocida como Glassworm, que comprometió la seguridad digital de cientos de proyectos y empresas de tecnología durante los últimos dos años.
CrowdStrike detalló la investigación, que encontró que la red Glassworm penetró preferentemente en la cadena de suministro de software de código abierto. Los atacantes no solo se centran en comprometer el producto final, sino que también atacan directamente a los desarrolladores que los expertos consideran objetivos de alto valor.
Según el informe de la firma de ciberseguridad, «los desarrolladores representan un objetivo inusualmente alto: comprometer la estación de trabajo de un solo desarrollador podría desencadenar una vulnerabilidad en la cadena de suministro que afecta a miles de organizaciones y usuarios».
Los ataques contra desarrolladores tienen como objetivo alterar los proyectos de código abierto y afectar a miles de usuarios. (Biblioteca de imágenes ilustrativas)
Esta tendencia responde al creciente crecimiento de plataformas de colaboración como GitHub y mercados extendidos como OpenVSX, donde la confianza en el código compartido se ha convertido en un nuevo vector de ataque. Durante la operación de Glassworm, más de 300 repositorios de GitHub quedaron contaminados con malware.
El grupo responsable de Glassworm utilizó diversos métodos para difundir su malware. Las tácticas identificadas incluyen la publicación de extensiones maliciosas en mercados utilizados por los desarrolladores, el uso de campañas de publicidad maliciosa (anuncios patrocinados en motores de búsqueda que conducen a descargas de malware) y el aprovechamiento de credenciales robadas en ataques anteriores. Estas credenciales permiten a los atacantes secuestrar cuentas de desarrolladores y modificar directamente el código fuente de proyectos populares.
Glassworm utiliza inyección de código sigiloso basada en Unicode y una infraestructura descentralizada de comando y control (C2), según la firma de seguridad de endpoints Koi, que descubrió la amenaza por primera vez en octubre de 2025. Los servidores C2 se ejecutan en tecnologías como la cadena de bloques Solana, redes punto a punto BitTorrent, servicios de calendario como Google Calendar y servidores privados virtuales, lo que proporciona resiliencia y la capacidad de eludir intentos de bloqueo.
CrowdStrike detectó más de 300 repositorios de GitHub contaminados con el malware Glassworm. (Biblioteca de imágenes ilustrativas)
La desactivación de la botnet se realiza simultáneamente a través de los cuatro canales principales de comando y control de Glassworm. La intervención se produjo un martes reciente a las 14:00 UTC e interrumpió con éxito el acceso del operador a las máquinas infectadas y la capacidad de distribuir nuevas cargas maliciosas.
John Hultquist, analista principal del Threat Intelligence Group de Google, confirmó la participación de la empresa. «Como parte de nuestros esfuerzos para contrarrestar las amenazas, estamos trabajando con nuestros socios para causar más daño a los atacantes, especialmente cuando los vemos abusando de nuestros productos o atacando a nuestros usuarios», dijo en una publicación en las redes sociales.
La acción plantea dudas sobre la legalidad y el alcance técnico de la intervención, ya que aún no está claro bajo qué autoridad actuaron las empresas involucradas.
Glassworm utiliza técnicas avanzadas para propagarse y evadir la detección en plataformas colaborativas. (Biblioteca de imágenes ilustrativas)
La represión de Glassworm se produce en un contexto de creciente sofisticación en los ataques a la cadena de suministro de software. Hace unas semanas, varios actores comprometieron proyectos de código abierto y distribuyeron actualizaciones contaminadas en una campaña de piratería llamada Mini Shai-Hulud.
En este caso, un desarrollador asociado a OpenAI se vio afectado y, en marzo, un hacker supuestamente procedente de Corea del Norte secuestró la herramienta de desarrollo Axios, ampliamente utilizada por la comunidad de software libre.
El gusano Glassworm se caracteriza por su capacidad de propagarse y convertir la computadora de un desarrollador en un nodo proxy para actividades delictivas. Además, ha producido su propia herramienta de acceso remoto, GlasswormRAT, que es compatible con sistemas Windows, macOS y Linux y está diseñada para robar credenciales y otra información sensible.
