Operação GlassWorm: a maior campanha contra desenvolvedores foi desmantelada

Em 26 de maio de 2026, às 14h UTC, a CrowdStrike executou uma operação coordenada com o Google e a Shadowserver Foundation para derrubar os quatro canais de comando e controle (C2) do GlassWorm — um botnet que vinha infectando desenvolvedores de software desde o início de 2025. O alvo não eram sistemas corporativos ou servidores: eram você, seu VS Code, seus pacotes npm e seus repositórios GitHub.

O GlassWorm representa uma mudança de paradigma na cadeia de suprimentos de software. Os atacantes não tentam mais explodir a porta da frente. Eles infectam a ferramenta que você usa todos os dias para construir código. E o pior: funcionou. Mais de 9 milhões de instalações de extensões maliciosas foram registradas antes do desmantelamento.

O que é o GlassWorm e como funciona

O GlassWorm é uma campanha de ataque à cadeia de suprimentos de software que explorou a confiança dos desenvolvedores em extensões e pacotes de código aberto. A operação funcionava em múltiplas frentes simultâneas:

  • Extensões trojanizadas para VS Code publicadas no Microsoft VS Code Marketplace e no Open VSX (usado por forks como Cursor, Windsurf, Positron e VSCodium). As extensões imitavam ferramentas populares — linters, formatadores, assistentes de IA — e acumularam mais de 9 milhões de downloads.
  • Pacotes npm e Python comprometidos que executavam código malicioso silenciosamente durante a instalação, via hooks de postinstall e scripts de setup.
  • Mais de 300 repositórios GitHub envenenados com commits maliciosos injetados usando credenciais roubadas dos próprios desenvolvedores.

Segundo a CrowdStrike, a campanha usava extensões que pareciam inofensivas na primeira instalação. Em atualizações subsequentes, os atacantes adicionavam dependências maliciosas via campos como extensionPack e extensionDependencies no arquivo package.json. O payload era entregue de forma transitiva — sem que o desenvolvedor percebesse.

Infraestrutura de comando: blockchain, BitTorrent e Google Calendar

O que torna o GlassWorm tecnicamente notável é a resiliência do seu sistema de C2. Em vez de depender de um único servidor, o malware usava quatro canais independentes para encontrar seu servidor de comando:

  1. Solana blockchain — endereços de C2 eram armazenados nos campos de memo de transações na blockchain Solana, funcionando como um dead drop resolver descentralizado.
  2. BitTorrent DHT — a tabela distribuída de hash da rede peer-to-peer BitTorrent era consultada para recuperar dados de configuração.
  3. Google Calendar — títulos de eventos em um calendário do Google continham o endereço do servidor C2, usando um serviço legítimo como fachada.
  4. VPS diretos — conexões diretas a servidores virtuais privados como fallback final.

Como explica a The Hacker News, essa combinação de blockchain, redes P2P e serviços web legítimos foi projetada para resistir a qualquer tentativa de derrubada. Por isso o desmantelamento precisou ser simultâneo: cortar apenas um canal não adiantaria, os demais continuariam funcionando.

O que o malware fazia nas máquinas infectadas

Uma vez instalado, o GlassWorm executava uma carga maliciosa sofisticada em múltiplas etapas. Primeiro, realizava verificações de localidade — o malware deliberadamente não executava em sistemas localizados em países da CEI (Comunidade de Estados Independentes), indicando que os operadores provavelmente são de origem russa. Os comentários no código fonte estavam em russo.

A carga útil incluía:

  • Roubo de credenciais — varria a máquina em busca de tokens do GitHub, credenciais npm, tokens OpenVSX e carteiras de criptomoedas.
  • GlassWormRAT — um RAT baseado em WebSocket capaz de roubar dados do navegador, capturar screenshots, registrar teclas digitadas (keylogger) e monitorar a área de transferência.
  • Extensão maliciosa do Chrome — instalava silenciosamente uma extensão que coletava dados sensíveis do navegador.
  • Conversão da máquina em infraestrutura — hosts infectados se tornavam proxies SOCKS, servidores VNC ocultos e nós de execução remota via WebRTC ou processos Node.js.

Segundo o pesquisador Kiran Raj, da Endor Labs, citado pela The Hacker News, “hosts infectados davam aos atacantes acesso anônimo a redes corporativas e pessoais, além de uma plataforma para se propagar ainda mais”.

O desmantelamento e o que muda agora

A operação de takedown foi conduzida em 26 de maio de 2026 pela equipe de Counter Adversary Operations da CrowdStrike, com suporte do Google e da Shadowserver Foundation. Os quatro canais de C2 foram neutralizados simultaneamente, cortando a comunicação entre os operadores e as máquinas infectadas.

Mas há um ponto crítico que a CrowdStrike enfatiza: o C2 foi derrubado, mas o malware ainda está nas máquinas. Desenvolvedores que instalaram extensões afetadas ou pacotes comprometidos continuam com o payload ativo — ele apenas não consegue mais receber instruções. Uma reconexão futura, por meio de um novo canal de C2, não pode ser descartada.

A campanha teve escala significativa. De acordo com a Rescana, pelo menos 72 extensões maliciosas foram publicadas no Open VSX, com mais de 9 milhões de instalações reportadas até março de 2026. Extensões com nomes como gvotcha.claude-code-extension (falsificando a extensão do Claude AI) e daeumer-web.es-linter-for-vs-code (imitando o popular ESLint de dbaeumer) demonstram o nível de engenharia social empregado. Há fortes indícios de que modelos de linguagem foram usados para gerar commits e documentações plausíveis que dificultavam a detecção manual.

Como verificar se você foi afetado

Se você usa VS Code ou qualquer fork (Cursor, Windsurf, Positron, VSCodium) e instalou extensões durante 2025 ou 2026, as ações recomendadas são:

  1. Revise todas as extensões instaladas e remova qualquer uma que não reconheça. Confirme o publisher original no marketplace oficial.
  2. Rotacione seus tokens imediatamente — GitHub Personal Access Tokens, tokens npm e tokens OpenVSX devem ser revogados e recriados.
  3. Audite seus repositórios — verifique commits recentes, alterações em workflows do GitHub Actions e versões publicadas que você não iniciou.
  4. Verifique os logs do GitHub Actions — procure execuções de workflow inesperadas ou modificadas.
  5. Execute uma varredura completa no sistema com uma solução de endpoint detection and response (EDR).

Os indicadores de comprometimento (IoCs) conhecidos incluem os endereços Solana BjVeAjPrSKFiingBn4vZvghsGj9KCE8AJVtbc9S8o8SC e 6YGcuyFRJKZtcaYCCFba9fScNUvPkGXodXE1mJiSzqDJ, além dos IPs de C2 45.32.150.251, 45.32.151.157 e 70.34.242.255.

Por que o Brasil deve prestar atenção

O Brasil tem uma das maiores comunidades de desenvolvedores do mundo. Segundo dados da GitHub, o país está entre os que mais criam repositórios e contribuem com código aberto. Ferramentas como VS Code e Cursor são ubíquas em empresas de tecnologia brasileiras, de startups a bancos digitais. O uso de pacotes npm é massivo.

O GlassWorm não escolheu alvos por país — a campanha era oportunista e global. Qualquer desenvolvedor que instalou uma extensão comprometida foi potencialmente afetado. Considerando que o país tem centenas de milhares de desenvolvedores ativos, a superfície de exposição é enorme.

Além disso, a conversão de máquinas infectadas em proxies SOCKS e servidores VNC significa que infraestrutura corporativa brasileira pode ter sido usada como plataforma para ataques adicionais — sem que as equipes de segurança tivessem conhecimento.

Perguntas frequentes sobre o GlassWorm

O que é o GlassWorm?

O GlassWorm é uma campanha de ataque à cadeia de suprimentos de software ativa desde 2025 que visava desenvolvedores através de extensões maliciosas para VS Code e pacotes npm/Python comprometidos. O objetivo era roubar credenciais e transformar máquinas infectadas em infraestrutura de ataque.

O botnet foi completamente eliminado?

A infraestrutura de comando e controle foi desativada, mas o malware continua presente nas máquinas infectadas. O payload não consegue mais receber instruções, mas os dados já roubados (tokens, credenciais, chaves cripto) permanecem com os atacantes. A revogação de credenciais é essencial.

Quais extensões do VS Code estavam comprometidas?

Pelo menos 72 extensões maliciosas foram identificadas no Open VSX e no Marketplace da Microsoft. Algumas imitavam ferramentas populares como ESLint, extensões do Claude AI, formatadores de código e ferramentas SQL. A lista completa está disponível em alertas da Socket.dev e da CrowdStrike.

O GlassWorm afeta apenas o VS Code?

Não. Como as extensões foram publicadas no Open VSX, qualquer editor baseado nessa plataforma foi afetado, incluindo Cursor, Windsurf, Positron e VSCodium. Pacotes npm e Python comprometidos também atingem desenvolvedores independentemente do editor utilizado.

Quem está por trás do GlassWorm?

A CrowdStrike atribui a campanha a cibercriminosos provavelmente baseados na Rússia, com base na análise do código (comentários em russo) e no comportamento do malware (que deliberadamente ignora sistemas em países da CEI). Não há atribuição formal a um grupo conhecido.

Referências