{"id":993,"date":"2026-05-27T13:40:48","date_gmt":"2026-05-27T13:40:48","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/la-eliminacion-del-malware-glassworm-interrumpe-la-infraestructura-de-ataque-a-la-cadena-de-suministro-de-los-desarrolladores-cyberdefensa-mx\/"},"modified":"2026-05-27T13:40:48","modified_gmt":"2026-05-27T13:40:48","slug":"la-eliminacion-del-malware-glassworm-interrumpe-la-infraestructura-de-ataque-a-la-cadena-de-suministro-de-los-desarrolladores-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/la-eliminacion-del-malware-glassworm-interrumpe-la-infraestructura-de-ataque-a-la-cadena-de-suministro-de-los-desarrolladores-cyberdefensa-mx\/","title":{"rendered":"La eliminaci\u00f3n del malware GlassWorm interrumpe la infraestructura de ataque a la cadena de suministro de los desarrolladores \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

CrowdStrike, en asociaci\u00f3n con Google y Shadowserver Foundation, ha anunciado la interrupci\u00f3n simult\u00e1nea de todos los canales de comando y control (C2) asociados con GlassWorm, una campa\u00f1a de cadena de software persistente dirigida a desarrolladores de software a trav\u00e9s de paquetes y extensiones maliciosos.<\/p>\n

\u00abDesde al menos principios de 2025, los operadores de GlassWorm se han dirigido sistem\u00e1ticamente a los desarrolladores de software, una poblaci\u00f3n con acceso a repositorios de c\u00f3digo fuente, plataformas en la nube, canales de CI\/CD y registros de paquetes\u00bb, CrowdStrike dicho<\/a>.<\/p>\n

El desarrollo se produce cuando los desarrolladores se han convertido en objetivos cada vez m\u00e1s lucrativos para realizar ataques a la cadena de suministro de software, lo que permite a los atacantes aprovechar una \u00fanica estaci\u00f3n de trabajo comprometida para impactar a miles de organizaciones y usuarios a la vez.<\/p>\n

GlassWorm, desde su aparici\u00f3n el a\u00f1o pasado, ha llevado a cabo<\/a> una \u00abcampa\u00f1a multifac\u00e9tica\u00bb que utiliza extensiones de VS Code troyanizadas publicadas tanto en Microsoft VS Code Marketplace como en Open VSX, lo que permite dirigirse a usuarios de bifurcaciones de VS Code como Cursor, Positron, Windsurf y VSCodium.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Tambi\u00e9n se sabe que la campa\u00f1a introdujo c\u00f3digo malicioso a trav\u00e9s de paquetes npm y Python comprometidos. El objetivo final de los ataques es ofrecer un marco de robo de datos con capacidades de recolecci\u00f3n de credenciales, exfiltraci\u00f3n de billeteras de criptomonedas y creaci\u00f3n de perfiles del sistema.<\/p>\n

Se ha descubierto que iteraciones posteriores de GlassWorm implementan una RAT de JavaScript basada en Websocket llamada GlassWormRAT para robar datos del navegador web y ejecutar c\u00f3digo arbitrario, incluida la instalaci\u00f3n de una extensi\u00f3n de Google Chrome que, a su vez, recopila datos confidenciales, incluidas capturas de pantalla, pulsaciones de teclas y contenido del portapapeles, del sistema infectado.<\/p>\n

\u00abUna vez activo, el malware busca en el host credenciales de desarrollador (GitHub, NPM, tokens OpenVSX, billeteras criptogr\u00e1ficas), lo que permite comprometer a\u00fan m\u00e1s los repositorios y las cargas de paquetes\u00bb, dijo el investigador de Endor Labs, Kiran Raj. dicho<\/a>.<\/p>\n

\"\"<\/a><\/div>\n
\"\"<\/a><\/div>\n

\u00abLos hosts infectados se convierten en infraestructura encubierta: proxies SOCKS, servidores VNC (HVNC) ocultos y nodos de ejecuci\u00f3n remota (a trav\u00e9s de WebRTC o procesos Node.js generados). Eso les da a los atacantes acceso an\u00f3nimo a redes corporativas y personales y una plataforma para propagarse m\u00e1s\u00bb.<\/p>\n

En conjunto, se dice que la actividad maliciosa ha envenenado m\u00e1s de 300 repositorios de GitHub utilizando credenciales de desarrollador robadas. Lo que hizo que la operaci\u00f3n fuera notable fue el uso de cuatro canales C2 distintos para mejorar la resiliencia:<\/p>\n

\u00abLa combinaci\u00f3n de blockchain, peer-to-peer y servicios web leg\u00edtimos como capas de resoluci\u00f3n fue dise\u00f1ada para ser resistente contra derribos: un frente din\u00e1mico que protege los servidores C2 reales detr\u00e1s de m\u00faltiples capas de indirecci\u00f3n\u00bb, dijo CrowdStrike.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Como resultado de la eliminaci\u00f3n, los cuatro canales han sido neutralizados simult\u00e1neamente en un esfuerzo coordinado para que las m\u00e1quinas infectadas ya no puedan recibir nuevas instrucciones o cargas \u00fatiles.<\/p>\n

Al describir a los operadores de GlassWorm como \u00abcon buenos recursos y persistentes\u00bb, la compa\u00f1\u00eda de ciberseguridad atribuy\u00f3 la actividad a probables ciberdelincuentes con sede en Rusia, dado que el malware finaliza la ejecuci\u00f3n en sistemas ubicados en los pa\u00edses de la Comunidad de Estados Independientes (CEI) y contiene comentarios en ruso.<\/p>\n

\u00abLa cadena de suministro de software sigue siendo una de las superficies de ataque m\u00e1s importantes en la inform\u00e1tica moderna\u00bb, concluy\u00f3 CrowdStrike. \u00abLos adversarios est\u00e1n convirtiendo la dependencia de una organizaci\u00f3n de herramientas, actualizaciones y bibliotecas en mecanismos de entrega armados y multiplicadores de fuerza\u00bb.<\/p>\n

\u00abLa barrera para envenenar un paquete o extensi\u00f3n es baja; el radio potencial de explosi\u00f3n es enorme. Mientras los entornos de desarrollo, los canales de construcci\u00f3n y los repositorios de c\u00f3digo permanezcan desprotegidos, cada organizaci\u00f3n que consume software hereda el riesgo de todos los que lo producen. GlassWorm demuestra que los atacantes lo saben y est\u00e1n invirtiendo en infraestructura resistente para mantener un acceso persistente a los ecosistemas de desarrolladores\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

CrowdStrike, en asociaci\u00f3n con Google y Shadowserver Foundation, ha anunciado la interrupci\u00f3n simult\u00e1nea de todos los canales de comando y control (C2) asociados con GlassWorm, una campa\u00f1a de cadena de software persistente dirigida a desarrolladores de software a trav\u00e9s de paquetes y extensiones maliciosos. \u00abDesde al menos principios de 2025, los operadores de GlassWorm se […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[181,249,24,70,53,1690,882,610,1094,52,60,250],"class_list":["post-993","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-ataque","tag-cadena","tag-cyberdefensa-mx","tag-del","tag-desarrolladores","tag-eliminacion","tag-glassworm","tag-infraestructura","tag-interrumpe","tag-los","tag-malware","tag-suministro"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/993","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=993"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/993\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=993"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=993"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=993"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}