AN NINH CHUỖI CUNG ỨNG

CrowdStrike, phối hợp cùng Google và Shadowserver Foundation, đã chính thức vô hiệu hóa toàn bộ hạ tầng điều khiển của GlassWorm - một chiến dịch mã độc quy mô lớn chuyên nhắm vào các nhà phát triển phần mềm toàn cầu.

Mối đe dọa từ GlassWorm

Bắt đầu từ đầu năm 2025, các đối tượng đứng sau GlassWorm đã thiết lập một hệ thống tấn công tinh vi nhắm vào những người có quyền truy cập vào kho mã nguồn, nền tảng đám mây và quy trình CI/CD. Mục tiêu cuối cùng là thực hiện các cuộc tấn công chuỗi cung ứng, cho phép kẻ tấn công lợi dụng một máy trạm bị xâm nhập để gây ảnh hưởng đến hàng nghìn tổ chức hạ nguồn.

Vector tấn công

Sử dụng các tiện ích mở rộng VS Code giả mạo trên Marketplace và các gói npm, Python độc hại để xâm nhập máy tính của lập trình viên.

Mục tiêu đánh cắp

Thu thập thông tin đăng nhập GitHub, token OpenVSX, ví tiền điện tử, ảnh chụp màn hình và dữ liệu từ clipboard của nạn nhân.

Hạ tầng C2 đa lớp cực kỳ tinh vi

Để duy trì sự bền bỉ và chống lại việc triệt phá, GlassWorm đã sử dụng bốn kênh điều khiển (C2) riêng biệt, tận dụng cả công nghệ blockchain và các dịch vụ web hợp pháp:

Blockchain Solana: Lưu trữ địa chỉ máy chủ C2 trong các trường ghi chú (memo) của giao dịch blockchain.

Google Calendar: Sử dụng tiêu đề sự kiện trên lịch để truyền tải thông tin máy chủ điều khiển cho mã độc.

BitTorrent DHT: Tận dụng mạng ngang hàng P2P để truy xuất dữ liệu cấu hình một cách ẩn danh.

Máy chủ VPS: Kết nối trực tiếp đến hạ tầng C2 được lưu trữ trên các nhà cung cấp dịch vụ thương mại.

Kết quả của cuộc triệt phá

Chiến dịch phối hợp đã đồng loạt vô hiệu hóa cả bốn kênh truyền thông này. Hiện tại, các máy tính bị nhiễm mã độc GlassWorm không còn có thể nhận chỉ thị mới hoặc tải về các gói payload độc hại từ máy chủ của kẻ tấn công. Theo phân tích, các đối tượng vận hành GlassWorm có nguồn lực dồi dào và nhiều khả năng có liên quan đến các nhóm tội phạm mạng nói tiếng Nga.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Nếu tổ chức của bạn có đội ngũ phát triển, hãy thực hiện ngay các bước sau:

Rà soát toàn bộ các tiện ích mở rộng VS Code đang cài đặt.
Kiểm tra các token GitHub, NPM và OpenVSX để phát hiện dấu hiệu truy cập bất thường.
Triển khai giải pháp EDR để giám sát các hành vi thực thi mã lạ trên máy trạm của lập trình viên.
Sử dụng các công cụ quét phụ thuộc (dependency scanning) cho mọi dự án phần mềm.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Triệt phá hạ tầng GlassWorm: Đòn giáng mạnh vào chiến dịch tấn công chuỗi cung ứng phần mềm