Según nuevos hallazgos de JFrog y Socket, la CLI de Bitwarden se vio comprometida como parte de una campaña de cadena de suministro de Checkmarx recientemente descubierta y en curso.
«La versión del paquete afectado parece ser @bitwarden/cli@2026.4.0, y el código malicioso fue expuesto en el archivo ‘bw1.js’ incluido en el contenido del paquete», dijo la compañía de seguridad de aplicaciones.
«Este ataque parece aprovechar una acción comprometida de GitHub en el proceso de CI/CD de Bitwarden. Esto es consistente con el patrón observado en otros repositorios afectados en esta campaña».
En una publicación en X, JFrog dijo que la versión maliciosa del paquete «roba tokens de GitHub/npm, .ssh, .env, historial de shell, acciones de GitHub, secretos de la nube y filtra datos a dominios privados en confirmaciones de GitHub».
Específicamente, el código malicioso se ejecuta mediante el enlace de preinstalación y roba secretos locales, de CI, de GitHub y de la nube. Los datos se extraen al dominio ‘audit.checkmarx(.)cx’ y a un repositorio de GitHub como respaldo si falla el método principal.
La secuencia completa de acciones se muestra a continuación.
Lanza un ladrón de credenciales dirigido a configuraciones de herramientas de codificación de inteligencia artificial (IA), como Developer Secrets, entornos de GitHub Actions, Claude, Kiro, Cursor, Codex CLI y Aider. Los datos robados se cifran con AES-256-GCM y se filtran a Audit.checkmarx(.)cx, un dominio que se hace pasar por Checkmarx. Una vez que se encuentra el token de GitHub, el malware puede usarlo como arma para inyectar flujos de trabajo de acciones maliciosas en el repositorio y extraer secretos de CI/CD.
«Un solo desarrollador con @bitwarden/cli@2026.4.0 instalado podría convertirse en un punto de entrada para un compromiso generalizado de la cadena de suministro, con el atacante obteniendo acceso persistente de inyección de flujo de trabajo a todas las canalizaciones de CI/CD a las que puede llegar el token del desarrollador», dijo StepSecurity.
Aunque esta versión maliciosa ya no está disponible para descargar desde npm, Socket dijo que la infracción sigue los mismos vectores de la cadena de suministro de GitHub Actions identificados en la campaña Checkmarx.
Como parte de este esfuerzo, observamos que los actores de amenazas explotan tokens de GitHub robados para inyectar nuevos flujos de trabajo de GitHub Actions que capturan secretos que pueden usarse para ejecutar flujos de trabajo y utilizan las credenciales de npm recopiladas para impulsar versiones maliciosas de paquetes que leen y envían malware a usuarios intermedios.
Según el investigador de seguridad Adnan Khan, los atacantes supuestamente utilizaron un flujo de trabajo malicioso para exponer la CLI maliciosa de bitwarden. «Creo que esta es la primera vez que un paquete que utiliza publicaciones confiables de NPM se ve comprometido», agregó Khan.
Cadena de ataque CLI de Bitwarden | Fuente: OX Security
Se sospecha que el último ataque dirigido a Checkmarx involucra a un atacante conocido como TeamPCP. Al momento de escribir este artículo, la cuenta X de TeamPCP ha sido suspendida por violar las reglas de la plataforma.
En un desglose del ataque, OX Security dijo que identificó la cadena «Shai-Hulud: The Third Coming» dentro del paquete, lo que sugiere que esta puede ser la siguiente etapa en una campaña de ataque a la cadena de suministro que se descubrió el año pasado.
Referencias a “Shai Hurd: La Tercera Venida”
«El último incidente de Shai Hulud es sólo el último de una larga cadena de amenazas dirigidas a desarrolladores de todo el mundo. Los datos de los usuarios se exponen públicamente en GitHub, pero a menudo pasan desapercibidos porque las herramientas de seguridad normalmente no marcan los datos enviados allí», dijo Moshe Siman Tov Bustan, líder del equipo de investigación de seguridad de OX Security.
«Esto hace que el riesgo sea mucho más peligroso. Cualquiera que busque en GitHub podría potencialmente encontrar y acceder a esas credenciales. En ese punto, los datos confidenciales ya no están en manos de un solo actor de amenazas, sino expuestos a todos».
Como en el caso Checkmarx, los datos robados están en el mismo formato “–<3 桁>» utilizando un esquema de nombres con temática de Dune para un repositorio público creado en la cuenta de la víctima. Sin embargo, en un giro interesante, el malware también está diseñado para finalizar la ejecución en el sistema si la ubicación corresponde a Rusia.
«Si bien las herramientas compartidas sugieren claramente una conexión con el mismo ecosistema de malware, las firmas operativas difieren en algunos aspectos, lo que complica la atribución», dijo Socket. «Esto sugiere que se trata de un operador diferente que utiliza infraestructura compartida, un grupo disidente con motivaciones ideológicas más fuertes o una evolución en la postura pública de la campaña».
Cuando se le pidió un comentario, Bitwarden reconoció el incidente y dijo que fue el resultado de un compromiso del mecanismo de distribución de npm luego del ataque a la cadena de suministro de Checkmarx, pero enfatizó que no accedió a los datos del usuario final como parte del ataque. La declaración completa compartida con The Hacker News se reproduce textualmente a continuación.
El equipo de seguridad de Bitwarden identificó y contuvo un paquete malicioso que se distribuyó brevemente a través de la ruta de entrega npm @bitwarden/cli@2026.4.0 entre las 5:57 p.m. y las 7:30 p.m. ET del 22 de abril de 2026, en relación con el incidente más amplio de la cadena de suministro de Checkmarx.
La investigación no encontró evidencia de que se hubiera accedido a los datos de la bóveda de los usuarios finales o que se hubieran visto comprometidos, o que los datos o sistemas operativos estuvieran comprometidos. Una vez que se detectó el problema, se revocó el acceso comprometido, la versión maliciosa de npm quedó obsoleta y se iniciaron medidas de reparación de inmediato.
Este problema no afectó el código base canónico de la CLI de Bitwarden ni la integridad de los datos almacenados de Vault, sino más bien el mecanismo de distribución npm de la CLI durante un período de tiempo limitado.
Los usuarios que no descargaron paquetes de npm durante ese período no se vieron afectados. Bitwarden ha completado una revisión de su entorno interno, ruta de lanzamiento y sistemas relacionados y no ha identificado ningún producto o entorno adicional que esté afectado en este momento. Se emitió un CVE para la versión 2026.4.0 de Bitwarden CLI en relación con este incidente.
(Esta es una historia en desarrollo. Vuelva a consultarla para obtener más detalles).
Source link
