CrowdStrike, Google et la fondation Shadowserver neutralisent le botnet Glassworm
CrowdStrike, Google et la fondation Shadowserver ont annoncé, le 26 mai 2026, avoir neutralisé le botnet Glassworm, spécialisé dans le piratage de machines de développeurs. Pour l’étendre, ses administrateurs ont notamment diffusé de fausses extensions d’éditeurs comme VS Code, Cursor ou Windsurf, et infecté des paquets npm, des bibliothèques Python et plus de 300 dépôts GitHub.
Un RAT développé en interne leur permettait de prendre le contrôle de machines tournant sous Windows, macOS et Linux. Actif depuis début 2025, le botnet exposait ainsi des milliers d’organisations à des attaques de la chaîne d’approvisionnement.
L’infrastructure de Glassworm était particulièrement résiliente : ses serveurs de contrôle utilisaient quatre canaux de communication redondants, reposant chacun sur des technologies différentes. Pour désactiver le botnet, CrowdStrike, Google et Shadowserver ont dû couper simultanément ces quatre canaux. Les trois partenaires n’ont pas attribué Glassworm à un groupe précis, mais des indices convergent selon eux vers une origine russe.