Glasswormの無力化：多層型サプライチェーンインフラに対する協調的無効化作戦

CrowdStrikeは先日、悪名高いGlasswormボットネットの無力化に成功したと発表した。この悪意あるシステムは、世界中のソフトウェア開発者を組織的に標的としていた。攻撃者はコードエディタの拡張機能、npmレジストリ、Pythonパッケージ、および侵害されたGitHubリポジトリを兵器として利用した。その結果、緩和キャンペーンには複数機関による高度な連携が必要とされた。GoogleおよびShadowserver Foundationと協力した上で、セキュリティアナリストたちは決定的な打撃を与えることに成功した。彼らは4つの独立したコマンド＆コントロール（C2）チャネルを同時に解体した。これらのパイプラインはこれまで、侵害されたエンドポイントに悪意ある命令や新たなペイロードを配布していた。

開発者への侵入がもたらす戦略的危険性

Glasswormキャンペーンの危険性は、単なるネットワーク規模をはるかに超えるものであった。この作戦は、現代的なエンジニアリング環境が抱える深刻な脆弱性を露わにした。ソフトウェア開発者は、最優先の初期アクセス標的へと変貌している。例えば、単一の侵害されたワークステーションだけで、膨大な管理者権限を獲得できる。脅威アクターは、独自のソースコードや企業クラウド環境を迅速に収集することが可能だ。

さらに、継続的インテグレーション（CI/CD）パイプライン、高権限の認証情報、そしてアップストリームのパッケージレジストリへのアクセスも確保される。こうしてアーキテクチャ上の侵害は、ローカルホストの範囲を瞬く間に超えていく。感染は広範なソフトウェアサプライチェーン全体へと容易に波及する。最終的には、根本的な侵害をまったく知らないダウンストリームの企業ユーザーにまで汚染が及ぶことになる。

多ベクター侵入の仕組み

脅威インテリジェンスによると、Glasswormの攻撃者は2025年初頭から技術専門家を組織的に狙っていた。当初、攻撃者は公開されているOpenVSXレジストリにトロイの木馬化されたVisual Studio Code拡張機能を公開していた。これらの悪意あるインプラントを無害なユーティリティとして巧みに偽装し、例えば定期的な時間管理ツールやコードフォーマッターを装っていた。

その結果、このキャンペーンは広範な統合開発環境（IDE）に影響を与えた。悪意ある依存関係は、VSCode、Cursor、Positron、Windsurfフレームワークを使用するユーザーへの感染に成功した。同様に、このエコシステムとネイティブ互換性を持つVSCodiumおよび関連アーキテクチャも即座に被害を受けた。

同時に、npmおよびPython Package Index（PyPI）レジストリを標的とした第二の攻撃ベクターも展開された。悪意あるコードは、通常の依存関係インストール作業中に静かに起動した。そのために攻撃者は、ネイティブのpostinstallフックおよびセットアップスクリプトを通じてペイロードが実行されるよう設計した。何も知らないエンジニアにとって、このプロセスは通常の無害なライブラリ更新と完全に同じように見えた。しかし実際には、外部の攻撃コードがすでにローカルユーザー権限でターミナル上で実行されていた。

第三の攻撃ベクターは、GitHubコードリポジトリの組織的な汚染であった。CrowdStrikeによると、攻撃者は300以上の異なるリポジトリの侵害に成功した。これを実行するために、攻撃者は先行する感染フェーズで収集した認証済み開発者の認証情報を利用した。その後、脅威アクターは破壊的なforce pushコマンドを実行し、デフォルトブランチの履歴を上書きした。そして、共同作業するユーザーが通常の無害なソフトウェア開発を期待しているコードベースに、悪意あるアーティファクトを密かに注入した。

さらに、このマルチプラットフォームキャンペーンはWindows、macOS、Linuxエコシステムにわたってシームレスに動作した。機能ツールキットには、広範な情報窃取モジュールと高速な認証情報収集エンジンが含まれていた。とりわけ重要なのは、Node.jsベースの高度に堅牢なリモートアクセス型トロイの木馬（RAT）が中核インプラントとして機能していた点だ。CrowdStrikeはこの特定のフレームワークをGlasswormRATと命名している。このツールは、リモートオペレーターに感染したシステムへの完全なインタラクティブ制御を提供する。

C2耐障害性フレームワークのフォレンジック解剖

Glasswormの基盤となるアーキテクチャは、運用継続性を最大化するために明示的に設計されていた。攻撃者は意図的に単一のコマンド＆コントロールインフラノードへの依存を排除した。そのような単純な構成は、ホスティングプロバイダーによるコンプライアンス対応によって迅速に終了させられるからだ。代わりにボットネットは、そのテレメトリを4つの独立した機能チャネルに分散させていた。各独立経路は、バックアップ制御ノードの動的な特定、または更新された設定変数の取得に使用されていた。

チャネルI：分散台帳への書き込み

最初の通信ループはSolanaブロックチェーンネットワークを利用していた。攻撃者は、公開トランザクションのメタデータmemoフィールドにアクティブなC2サーバの座標を永続的に記録した。この構成は、実質的に不変の公開デッドドロップとして機能する。ルーティングのテレメトリが分散台帳内にネイティブに存在するため、標準的な削除通知やホスティングプロバイダーの介入に対して完全に免疫を持つ。

チャネルII：P2P DHTオーバーレイ

第二のメカニズムは、BitTorrent分散ハッシュテーブル（DHT）インフラを活用していた。GlasswormRATはP2Pネットワークに対して組織的にクエリを発行し、設定プロパティを取得していた。これらのアセットを検証するために、マルウェアはハードコードされた事前設定済みの暗号公開鍵を処理した。この分散型アーキテクチャには単一障害点が存在せず、従来の法執行機関による阻止活動を大幅に複雑化させていた。

チャネルIII：正規SaaSプロトコルのトンネリング

第三のルーティングレイヤーは、正規クラウドサービスの難読化された悪用に依存していた。具体的には、GlasswormはGoogleカレンダーのイベントメタデータフィールドを利用してC2インフラのパスをブロードキャストしていた。開発者はこれらの宛先を標準的なBase64エンコードマトリックスで包んでいた。

ネットワーク防御チームにとって、このテレメトリのフィルタリングは深刻な運用上の課題をもたらす。Googleカレンダーは信頼された企業プラットフォームであるため、単純なドメインブロッキングポリシーを実施すれば重要な業務ワークフローを中断させるリスクがある。

チャネルIV：従来型VPSへの直接接続

最後の第四チャネルは、古典的な脅威アーキテクチャのパラダイムに近いものだった。悪意あるインプラントは、従来型のコマンドサーバと直接ネットワークソケットを確立していた。攻撃者はこれらのアセットを従来型の商業VPS（仮想プライベートサーバー）プロバイダーからリースしていた。これらの標準的なエンドポイントを通じて、オーケストレーターは最終ステージの悪意あるペイロードを確認済みの被害者ノードへ組織的に配布していた。

協調テイクダウン戦略

ブロックチェーン台帳、P2Pオーバーレイ、SaaSフレームワーク、従来型ホスティングを組み合わせたこのハイブリッド統合により、Glasswormは強大な耐障害性を獲得していた。セキュリティチームが単一のチャネルを解体しても、マルウェアは自律的にテレメトリを別の経路に再ルーティングしていた。この機動性により、攻撃者は管理制御を迅速に回復できた。

これに対抗するため、CrowdStrike、Google、Shadowserver Foundationは同期された妨害キャンペーンを実行した。4つの運用チャネルすべてを同時に無力化したのだ。その結果、孤立したクライアントインプラントはリモートコマンドの受信や補助ペイロードの取得に関するあらゆる能力を失った。

CrowdStrikeは、Glasswormプロジェクトが12ヶ月以上にわたって継続的に進化していたことを強調している。ソフトウェアエンジニアたちは、レガシーJavaScriptから最新のRustおよびZigフレームワークへと移行するなど、コンパイル戦略を頻繁に適応させていた。同時に、多様なソフトウェアエコシステムへの運用範囲を拡大しながら、バックアップインフラグリッドを継続的に構築していた。この不屈の執拗さは、開発者環境において特に危険だ。盗まれたアクセストークン、リポジトリ権限、侵害されたステージング環境は、数千もの独立した組織に影響を与える広範なダウンストリーム汚染を引き起こす可能性がある。

フォレンジック帰属と地域テレメトリ

フォレンジックテレメトリは、オーケストレーターがソフトウェアサプライチェーンセキュリティ分野における深い専門知識を持つことを示唆している。アナリストは、初期化ルーチンの初期段階に組み込まれた独自の行動制約を観察した。実行時にバイナリは、ホストシステムのローカライズされた言語変数とアクティブなタイムゾーン設定を検査していた。

クエリの結果、エンドポイントが独立国家共同体（CIS）の管轄内に存在することが判明した場合、マルウェアは実行を中止した。地域的な脅威グループは、現地の法執行機関による監視を回避するためにこの防御的戦術を常套手段として使用する。さらに、アナリストはデコンパイルされたソースファイル内に特徴的なキリル文字のコードコメントを発見した。

ただし、CrowdStrikeはこれらの個別の特徴が確定的な帰属を構成するものではないと明示的に警告している。地政学的な指標は、自動化された人工知能エンジンを使用して容易に偽造または統合できる。それでも、全体的な運用パターンは、長期にわたる複数月の観察タイムラインを通じて著しく一貫していた。

修復とネットワーク侵害指標

インフラの無力化に成功した後、CrowdStrikeはエコシステムの修復を促進するために確定的な侵害指標（IoC）を配布した。現在Glasswormインプラントに感染しているすべてのエンドポイントは、アウトバウンドのビーコニングトラフィックを安全なシンクホールの宛先に自動的にルーティングする。CrowdStrikeはこの防御的IPアセットを明示的に管理している：164.92.88[.]210。

したがって、組織は過去のネットワークログとアクティブなエンドポイントテレメトリマトリックスを直ちに監査しなければならない。このアドレスとの相関が記録されている場合は、即座にホストを隔離し、フォレンジック的なサニタイズを実施することが求められる。

重要なネットワークテレメトリターゲット

主要な管理監査チェックリスト

• すべての境界ネットワークログとファイアウォール接続状態を精密に解析する。
• すべてのアクティブな開発者ワークステーションのエンドポイントテレメトリマトリックスを精査する。
• OpenVSXレジストリから最近拡張機能をインポートしたローカル端末を特定し検査する。
• 公開npmまたはPyPIリポジトリから未検証のコードブロックを最近取り込んだシステムを監査する。

検証をさらに加速するため、CrowdStrikeは2つの異なるYARAシグネチャルールを配布した。最初のルールは、デコンパイルされたGlasswormRATペイロード内の独自の暗号文字列シーケンスを特定するものだ。同時に、第二のシグネチャスクリプトは、初期アクセス段階で使用された高度に難読化されたPythonベースのインストールルーチンを標的としている。

現代のサプライチェーン防御における構造的欠陥

Glasswormボットネットの歴史的な軌跡は、現代のサプライチェーンセキュリティモデルに存在する深刻な構造的欠陥を露わにしている。インシデント後の検出パラダイムのみに依存することは、まったく不十分な保護しか提供しない。兵器化されたパッケージは、わずか数秒でローカルへの完全なインストールを完了できる。その結果、自動セキュリティアラートは通常、攻撃者が認証トークンを窃取したり高権限スクリプトを実行したりした後に、はるかに遅れて発生する。

この運用リスクは、現代の開発エコシステムの根本的なアーキテクチャによってさらに深刻化している。npm、PyPI、OpenVSX、GitHubといったレジストリは、数百万もの独立したプロジェクトと脆弱な依存関係をホストしている。残念ながら、ネイティブの検証メカニズムは構造的に限定されたままだ。この欠陥により、攻撃者は新規パッケージを迅速に公開し、セットアップスクリプトに悪意あるルーティンを注入し、即座に被害者を収集できる。Glasswormはこの速度を巧みに利用し、開発者エンドポイントでの継続的な持続性を維持するために、異なるリポジトリレジストリを常に渡り歩いていた。

包括的な防御強化の必須事項

したがって、既知の悪意あるシグネチャをローカルファイルシステムでスキャンするだけでは、これらの脅威ベクターを緩和するには不十分だ。堅牢なエンタープライズ防御には、厳格な依存関係検証制御の包括的な実装が必要だ。セキュリティチームはエディタ拡張機能を継続的に監査し、APIトークンに最小権限の原則を徹底し、CI/CD環境を積極的に監視しなければならない。

同時に、インシデントレスポンスチームは侵害された認証情報を迅速に無効化しなければならない。とりわけ重要なのは、アクティブなインフラを組織的に解体することだ。攻撃者が感染ホストの制御を保持し続ける限り、変更された手法を使ってターミナルを容易に再侵害できるからだ。

最終的に、Glasswormは冷酷なまでにエレガントな命題を活用していた。エンジニアを侵害することで、ダウンストリームのソースコードとエンドユーザーエコシステムへの無制限のアクセスを確保するというものだ。攻撃者は、開発ユーティリティ、ソフトウェアアップデート、公開リポジトリに対する組織的な信頼を、兵器化された配布メカニズムへと巧みに転換させた。4つのC2チャネルの同期された無力化は、既存のホスト感染を即座に治癒するものではないが、世界中の企業に重要な運用上の猶予期間を提供する。組織はこの間隔を活用して環境を監査し、潜在するインプラントを除去し、侵害されたアクセス認証情報を包括的にローテーションしなければならない。