LONDON (IT BOLTWISE) – CrowdStrike stoppt gemeinsam mit Google und der Shadowserver Foundation die gesamten Command-and-Control-Kanäle einer langlaufenden Software-Supply-Chain-Kampagne namens GlassWorm. Die Operation richtet sich gezielt an Entwickler: über getarnte VS-Code-Erweiterungen sowie kompromittierte npm- und Python-Pakete werden Credentials abgegriffen und kompromittierte Hosts in stille Infrastruktur verwandelt. Besonders wirksam macht das Vorgehen die Kombination mehrerer, voneinander unabhängiger Auflösungs- und Kommunikationswege, die im Rahmen der koordinierten Maßnahme gleichzeitig neutralisiert wurden. Für Unternehmen bedeutet das: Schon kleine Lücken in Build-Pipelines oder Rechtemanagement können eine Kettenreaktion bis in nachgelagerte Anwendungen auslösen.
Mit dem koordinierten Stopp der Command-and-Control-(C2)-Kanäle rund um die Malware-Kampagne GlassWorm wird eine zentrale Schwachstelle moderner Entwicklungsumgebungen sichtbar: Der Weg vom kompromittierten Paket oder der manipulierten Extension bis zur späteren Kompromittierung vieler Organisationen ist häufig kürzer, als Sicherheitsteams erwarten. Nach Angaben von CrowdStrike haben die beteiligten Partner die Kommunikation so unterbrochen, dass betroffene Systeme keine neuen Anweisungen oder Payloads mehr erhalten. Damit wird nicht nur Schadsoftware entfernt, sondern vor allem die „Dauersteuerung“ einer Supply-Chain-Attacke gekappt, die seit 2025 Entwickler-Workflows systematisch ausnutzte.
Technisch basiert GlassWorm auf einem mehrstufigen Ansatz, der mehrere Ebenen der Software-Lieferkette verzahnt. Im Kern berichten die Beteiligten von einem mehrgleisigen Vorgehen mit trojanisierten VS-Code-Erweiterungen, die sowohl im Microsoft-nahem Ökosystem als auch in Open-Repository-Varianten veröffentlicht worden sein sollen. Weil Nutzer heute nicht nur „klassisches“ VS Code verwenden, sondern auch Forks wie Cursor, Positron, Windsurf oder VSCodium, erweitert sich die Zielmenge über eine einzelne Plattform hinaus. Zusätzlich sollen kompromittierte npm- und Python-Pakete sowie nachgelagerte Komponenten für weitere Angriffsphasen genutzt worden sein.
Aus Sicht der Infrastrukturstrategie ist besonders relevant, wie GlassWorm den nächsten Zugriff vorbereitet. Laut den öffentlich berichteten Analysen sucht die Schadsoftware nach Entwickler-Identitäten und Zugriffstokens, etwa für Plattformen wie GitHub, Paketregister wie npm oder OpenVSX sowie nach Wallet-Zugängen. Das ist mehr als klassischer Diebstahl: Die gewonnenen Credentials können dazu führen, dass Repositories und Paket-Uploads weiter manipuliert werden, ohne dass die Angreifer jedes Mal einen neuen Einbruch in der Lieferkette erzwingen müssen. Der Taktikwechsel macht das Ganze zu einem „Credential-to-Propagation“-Mechanismus, der CI/CD-Prozesse, Build-Agenten und Package-Registries als Hebel betrachtet.
Ein weiterer technischer Schwerpunkt liegt auf der nachgelagerten Verwandlung infizierter Systeme in inoffizielle Infrastrukturbausteine. Berichten zufolge soll GlassWorm Ports und Netzwerkrollen übernehmen, unter anderem als SOCKS-Proxy, als versteckter VNC-Server (HVNC) sowie als Remote-Execution-Knoten über WebRTC oder durch gestartete Node.js-Prozesse. Damit entsteht eine Art verstecktes Betriebsnetz, das Angreifer anonymisiert in Unternehmens- und Heimnetze „hineinverlängern“ kann. Für die Security-Praxis bedeutet das: Selbst wenn das initial betroffene Entwicklergerät isoliert wirkt, kann es später als Sprungbrett und Datenabflussweg dienen.
Besonders aufmerksamkeitsstark ist die Resilienz der C2-Kommunikation. Statt nur einen Kanal zu nutzen, wird von vier getrennten C2-Ansätzen gesprochen, die als Auflösungsschichten bewusst robust ausgelegt waren. CrowdStrike beschreibt dabei die Idee, Blockchain-Elemente, Peer-to-Peer-Mechanismen sowie reguläre Webdienste als „Resolution Layers“ einzusetzen, damit ein einzelner Takedown weniger wirkt als gedacht. In der koordinierten Gegenmaßnahme wurden nach dieser Logik alle relevanten Kanäle gleichzeitig neutralisiert, sodass die infizierten Rechner keine neuen Befehle mehr abrufen konnten. Dieser gleichzeitige Rhythmus ist in der Praxis oft entscheidend, weil Zeitfenster für „Fallback“-Routen sonst die Wirkung verwässern.
Die Marktrelevanz liegt weniger in der einzelnen Kampagne als in dem Muster, das sich darin zeigt: Entwickler werden zunehmend als „Wertträger“ betrachtet, weil sie Zugriff auf Quellcode-Repositories, Cloud-Umgebungen, CI/CD-Pipelines und Paketregistries haben. In Interviews und Auswertungen von Security-Teams wird genau diese Logik immer wieder bestätigt. Ein Beispiel ist die Aussage eines Endor-Labs-Forschers, wonach infizierte Systeme zu verdeckter Infrastruktur umgebaut werden, die anonymisierten Netzwerkzugriff ermöglicht. Im Wettbewerb der Schutz- und Erkennungsanbieter zeigt sich außerdem eine klare Tendenz: Plattformen und Service-Provider versuchen, takedowns mit Threat-Intelligence-Kooperationen zu koppeln, ähnlich wie es auch bei anderen großen Infrastrukturmaßnahmen beobachtet wurde.
Für Unternehmen folgt daraus eine konkrete Sicherheitsagenda, die über „klassisches AV“ hinausgeht. Erstens sollte das Prinzip „Least Privilege“ konsequent auf Tokens, Build-Agents und Dienstkonten angewendet werden, sodass ein kompromittiertes Entwicklerkonto nicht direkt Rechte zum Manipulieren von Artefakten besitzt. Zweitens lohnt sich ein stärkerer Fokus auf Supply-Chain-Schutz in der Pipeline: Signaturen, vertrauenswürdige Quellen, Reproducible Builds und ein härterer Gatekeeper für Abhängigkeiten reduzieren die Angriffsfläche gegenüber trojanisierten Extensions und Paketen. Drittens sind Monitoring und Incident-Response für die späteren Infektionsstadien entscheidend, etwa bei ungewöhnlichem Netzwerkverhalten oder dem Auftreten von Proxys und Remote-Execution-Komponenten. Dieser Blick auf Regulierung und Datenschutz schließt sich an: Je nach Branche müssen Protokollierung und Incident-Forensik so gestaltet werden, dass personenbezogene Daten und Zugriffslogs nur zweckgebunden verarbeitet werden.
Ausblickend ist wahrscheinlich, dass Angreifer nach dem C2-Stopp nicht „aufgeben“, sondern die Angriffsinfrastruktur schneller ausrollen und stärker fragmentieren. Auch wenn der aktuelle Takedown die Steuerung unterbindet, bleibt die operative Herausforderung bestehen: Solange Entwicklungsumgebungen, Build-Pipelines und Repositories unterabsichert sind, können kompromittierte Artefakte weiter in nachgelagerte Systeme gelangen. Für Entwickler-Teams und Plattformbetreiber bedeutet das, dass Security nicht nur in die Endpunkte, sondern in die Lieferkette selbst wandert. Gleichzeitig steigt der Bedarf an transparenten Patch- und Widerrufsprozessen für Tokens und Artefakte, damit die Wirkung einer Maßnahme nicht durch langsame Bereinigungszyklen verloren geht. GlassWorm ist damit weniger ein Einzelfall als ein Signal für die nächste Phase der vernetzten Angriffswerkzeuge gegen den Entwicklungsprozess.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GlassWorm: CrowdStrike und Partner stoppen C2-Server der Supply-Chain-Kampagne" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GlassWorm: CrowdStrike und Partner stoppen C2-Server der Supply-Chain-Kampagne" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GlassWorm: CrowdStrike und Partner stoppen C2-Server der Supply-Chain-Kampagne« bei Google Deutschland suchen, bei Bing oder Google News!