Glassworm resurge: ataque masivo a repositorios de código en github
Una nueva oleada del malware Glassworm ha golpeado GitHub, afectando a cientos de repositorios y poniendo en riesgo la seguridad de proyectos de código abierto.
Científicos de aikido alertan sobre la sofisticada campaña
La firma de ciberseguridad Aikido ha revelado una campaña masiva de malware que se oculta tras caracteres Unicode invisibles en repositorios de GitHub. El ataque, perpetrado por el actor de amenaza Glassworm, ha impactado en proyectos de gran relevancia como Wasmer, Reworm y Anomalyco, desarrolladores de OpenCode y SST. La situación se complica por la sofisticación de la técnica empleada, que parece haber evolucionado gracias al uso de inteligencia artificial.
El malware, activo desde hace casi un año, ha vuelto con fuerza en marzo de 2025, afectando a 200 repositorios de Python, 151 de JavaScript y TypeScript, 72 extensiones de VSCode y Open VSX, además de una decena de paquetes de npm. La cifra habla por sí sola: la escala del ataque es considerable, superando con creces las alertas previas de Aikido en marzo de 2025, cuando ya detectaron paquetes maliciosos en npm.
“El truco está en caracteres Unicode invisibles, fragmentos de código que se representan como nada en prácticamente todos los editores y terminales”, explica Aikido. Los atacantes codifican una carga maliciosa dentro de lo que aparenta ser una cadena vacía, aprovechándose de la dificultad para detectar cambios sutiles en el código.
Si bien la técnica de inyección es realista, los investigadores creen que Glassworm podría haber utilizado inteligencia artificial para modificar los repositorios a gran escala. “La elaboración manual de más de 151 cambios de código a medida en diferentes bases de código simplemente no es factible”, señalan desde Aikido.
La carga maliciosa, una vez decodificada, ejecuta un segundo script que utiliza Solana como canal de entrega, con el objetivo de robar tokens de sesión, credenciales y datos personales. La variable “lzcdrtfxyqiplpd” se ha identificado como un indicador clave del malware.
Para evitar el vaciado de billeteras o la exfiltración de datos, los expertos recomiendan instalar paquetes de Python directamente desde GitHub o ejecutar repositorios clonados para verificar su integridad. La superficie de ataque se extendió más allá de GitHub, afectando a herramientas cruciales para el desarrollo.
Esta nueva oleada de ataques pone de manifiesto la vulnerabilidad de los proyectos de código abierto, incluso aquellos con alta reputación, como el repositorio pedronauck/reworm, que cuenta con 1.460 estrellas. La capacidad de Glassworm para disfrazarse como cambios legítimos hace que su detección sea extremadamente difícil.
La sofisticación del ataque subraya la necesidad de una mayor vigilancia y la implementación de herramientas de seguridad más avanzadas en la comunidad de desarrolladores. La cifra de repositorios comprometidos es un claro recordatorio de la magnitud del problema.
La respuesta de los desarrolladores será clave para contener la propagación de esta amenaza. El malware Glassworm no solo roba datos, sino que erosiona la confianza en la base del software moderno.
La velocidad con la que se adapta Glassworm, aprovechando las últimas tecnologías, anticipa una carrera armamentística constante entre atacantes y defensores. La seguridad del código abierto ya no es una opción, sino una necesidad imperante.
n