CrowdStrike, Google ve Shadowserver Foundation'ın ortak çabaları, Glassworm botnetinin çökertilmesiyle sonuçlandı. Üç kuruluş, botnetin dört komuta ve kontrol (C2) kanalını eş zamanlı olarak devre dışı bırakarak operatörlerin enfekte makinelere erişimini ve yeni kötü amaçlı yükler gönderme yeteneğini kesti.
Glassworm botneti, geleneksel C2 sunucularının yanı sıra daha az yaygın ve gizli varlıklar kullanıyordu. Google Calendar etkinlik başlıkları, Base64 kodlu C2 yolları için ölü bırakma noktaları olarak kullanılırken, Solana blokzincirindeki işlem açıklama alanlarına gömülü C2 adresleri ile peer-to-peer ağlar ve blokzincir tabanlı altyapı da kullanılıyordu.
CrowdStrike'ın raporuna göre, 'blokzincir, peer-to-peer ve meşru web hizmetlerinin birleşimi, çökertmelere karşı dayanıklı olacak şekilde tasarlanmıştı; gerçek C2 sunucularını birden fazla yönlendirme katmanının arkasında koruyan dinamik bir cephe oluşturuyordu.' Bu nedenle tehdit avcıları, tüm kanalları aynı anda bozmak zorundaydı. Sadece bir kanalı kapatmak diğerlerini çalışır durumda bırakarak operatörlerin hızla yeniden yapılanmasına izin verirdi.
Nasıl Önlem Alınmalı?
Operasyonun başarısı, bu tür karmaşık, çok katmanlı botnetlere karşı sektör iş birliğinin önemini bir kez daha ortaya koydu. CrowdStrike, Google ve Shadowserver Foundation'ın koordineli müdahalesi, Glassworm'un altyapısını tamamen çökertirken, siber güvenlik topluluğuna benzer tehditlerle mücadelede değerli dersler sağladı.
