Apps y consumo
CrowdStrike y Google desmantelan la botnet Glassworm
CrowdStrike, Google y Shadowserver desmantelaron la botnet Glassworm, que pasó dos años envenenando más de 300 repositorios de GitHub para atacar a desarrolladores de software de código abierto.
La firma de ciberseguridad CrowdStrike, en colaboración con Google y Shadowserver (una organización sin fines de lucro de ciberseguridad), desmanteló la botnet Glassworm, una red de computadoras infectadas utilizada por ciberdelincuentes para distribuir malware y robar contraseñas. Según CrowdStrike, los hackers de Glassworm pasaron dos años atacando la cadena de suministro de software de código abierto. La operación conjunta neutralizó con éxito cuatro canales de comando y control, que son servidores utilizados para gestionar la botnet. La neutralización de estos canales cortó el acceso de los hackers a las computadoras infectadas y les impidió distribuir más software malicioso.
Para ejecutar la campaña, los hackers de Glassworm recurrieron a múltiples métodos para distribuir su software malicioso. Estas tácticas incluyeron la publicación de extensiones maliciosas en mercados para desarrolladores, el robo de credenciales y el uso de malvertising (una técnica de publicidad maliciosa en buscadores) para engañar a los usuarios y que descarguen malware. Al aprovechar credenciales robadas en brechas anteriores, los ciberdelincuentes secuestraron cuentas de desarrolladores para insertar software malicioso directamente en proyectos activos. Mediante estos métodos, los hackers lograron envenenar más de 300 repositorios de código en GitHub, explotando la confianza que las empresas depositan en el código alojado en la plataforma.
Esta actividad destaca un cambio táctico significativo entre los ciberdelincuentes, que se centran cada vez más en los creadores de software en lugar de en los productos terminados. En su informe sobre la operación, CrowdStrike escribió: “Los adversarios ya no solo atacan productos, están atacando a los desarrolladores que los crean”, explicando que los desarrolladores representan objetivos de alto valor porque comprometer una sola estación de trabajo puede derivar en un compromiso de la cadena de suministro (una brecha de seguridad en la cadena) que impacta a miles de organizaciones y usuarios posteriores.
La interrupción de Glassworm ocurre junto a un aumento más amplio de ciberataques dirigidos al ecosistema de desarrolladores. La semana pasada, una campaña de hacking independiente comprometió varios proyectos de código abierto, lo que incluyó ataques a OpenAI. Además, en marzo, otro ataque a la cadena de suministro secuestró Axios, una herramienta de desarrollo de software utilizada por los desarrolladores para crear aplicaciones. No está claro bajo qué autoridad legal o técnica operaron CrowdStrike y sus socios para ejecutar la eliminación, ya que un portavoz de la firma de ciberseguridad declinó hacer comentarios sobre los detalles de la operación.
Por qué importa
La operación destaca un cambio en la estrategia de los ciberdelincuentes: en lugar de atacar productos finales, los adversarios se dirigen cada vez más a los propios desarrolladores para comprometer toda la cadena de suministro de software. Al envenenar repositorios de código abierto, los hackers pueden explotar la confianza de los usuarios posteriores para comprometer a miles de organizaciones a la vez.