L’interface de ligne de commande de Bitwarden compromise lors de la campagne en cours contre la chaîne d’approvisionnement de Checkmarx
L’interface de ligne de commande Bitwarden CLI , l’interface en ligne de commande du gestionnaire de mots de passe Bitwarden, aurait été compromise dans le cadre d’une campagne de la chaîne d’approvisionnement Checkmarx récemment découverte et toujours en cours , selon les conclusions de JFrog et Socket.
« La version du package concernée semble être @bitwarden/cli@2026.4.0 , et le code malveillant a été publié dans ‘bw1.js’, un fichier inclus dans le contenu du package », a déclaré la société de sécurité des applications .
« L’attaque semble avoir exploité une action GitHub compromise dans le pipeline CI/CD de Bitwarden, ce qui correspond au schéma observé dans d’autres dépôts touchés par cette campagne. »
Dans un message publié sur X, JFrog a déclaré que la version malveillante du paquet « vole les jetons GitHub/npm, les fichiers .ssh, .env, l’historique du shell, les actions GitHub et les secrets du cloud, puis exfiltre les données vers des domaines privés et au fur et à mesure des commits GitHub ».
Plus précisément, le code malveillant est exécuté via un hook de préinstallation, ce qui permet le vol de données confidentielles locales, d’intégration continue, de GitHub et du cloud. Ces données sont exfiltrées vers le domaine « audit.checkmarx[.]cx » et vers un dépôt GitHub en cas d’échec de la méthode principale.
La liste complète des actions est présentée ci-dessous –
- Il lance un voleur d’identifiants qui cible les secrets des développeurs, les environnements GitHub Actions et les configurations des outils de codage d’intelligence artificielle (IA), notamment Claude, Kiro, Cursor, Codex CLI et Aider.
- Les données volées sont cryptées avec AES-256-GCM et exfiltrées vers audit.checkmarx[.]cx, un domaine imitant Checkmarx.
- Si des jetons GitHub sont trouvés, le logiciel malveillant les utilise pour injecter des flux de travail Actions malveillants dans les dépôts et extraire des secrets CI/CD.
« Un seul développeur ayant installé @bitwarden/cli@2026.4.0 peut devenir le point d’entrée d’une compromission plus large de la chaîne d’approvisionnement, l’attaquant obtenant un accès persistant par injection de flux de travail à chaque pipeline CI/CD que le jeton du développeur peut atteindre », a déclaré StepSecurity .
Bien que la version malveillante ne soit plus disponible au téléchargement sur npm, Socket a déclaré que la compromission suit le même vecteur de chaîne d’approvisionnement GitHub Actions identifié dans la campagne Checkmarx.
Dans le cadre de ces efforts, des acteurs malveillants ont été découverts en train d’utiliser des jetons GitHub volés pour injecter un nouveau flux de travail GitHub Actions qui capture les secrets disponibles pour l’exécution du flux de travail et utilise les identifiants npm récupérés pour diffuser des versions malveillantes du package afin de lire le logiciel malveillant aux utilisateurs en aval.
Selon le chercheur en sécurité Adnan Khan, l’auteur de la menace aurait utilisé un processus malveillant pour publier l’interface de ligne de commande Bitwarden malveillante. « Je crois que c’est la première fois qu’un paquet utilisant la publication sécurisée NPM est compromis », a ajouté Khan .
 |
| Chaîne d’attaque Bitwarden CLI | Source : OX Security |
On soupçonne le groupe de cybercriminels TeamPCP d’être à l’origine de la dernière attaque visant Checkmarx. À l’heure actuelle, le compte X de TeamPCP a été suspendu pour violation du règlement de la plateforme.
Dans une analyse détaillée de l’attaque, OX Security a déclaré avoir identifié la chaîne de caractères « Shai-Hulud : La Troisième Venue » dans le paquet, ce qui suggère qu’il pourrait s’agir de la prochaine phase de la campagne d’attaques contre la chaîne d’approvisionnement qui a été révélée l’année dernière.
 |
| Référence à « Shai-Hulud : La Troisième Venue » |
« Le récent incident Shai Hulud n’est que le dernier d’une longue série de menaces ciblant les développeurs du monde entier. Les données des utilisateurs sont exfiltrées publiquement vers GitHub, souvent sans être détectées car les outils de sécurité ne signalent généralement pas les données envoyées vers cette plateforme », a déclaré Moshe Siman Tov Bustan, responsable de l’équipe de recherche en sécurité chez OX Security.
« Cela rend le risque beaucoup plus dangereux : toute personne effectuant une recherche sur GitHub peut potentiellement trouver ces identifiants et y accéder. Dès lors, les données sensibles ne sont plus entre les mains d’un seul acteur malveillant ; elles sont exposées à n’importe qui. »
Comme dans le cas de l’incident Checkmarx, les données volées sont exfiltrées vers des répertoires publics créés sous les comptes des victimes, utilisant un système de nommage inspiré de Dune, au même format « <mot>-<mot>-<3 chiffres> ». Mais, fait intéressant, le logiciel malveillant est également conçu pour cesser son exécution sur les systèmes dont la localisation correspond à la Russie.
« Le partage d’outils suggère fortement un lien avec le même écosystème de logiciels malveillants, mais les signatures opérationnelles diffèrent de manière à compliquer l’attribution », a déclaré Socket. « Cela laisse penser soit à un opérateur différent utilisant une infrastructure partagée, soit à un groupe dissident animé de motivations idéologiques plus fortes, soit à une évolution de la stratégie de communication de la campagne. »
Contactée pour obtenir des commentaires, Bitwarden a confirmé l’incident et a indiqué qu’il résultait de la compromission de son système de distribution npm suite à l’attaque de la chaîne d’approvisionnement Checkmarx. L’entreprise a toutefois souligné qu’aucune donnée utilisateur n’avait été consultée lors de cette attaque. L’intégralité de la déclaration transmise à The Hacker News est reproduite ci-dessous.
L’équipe de sécurité de Bitwarden a identifié et contenu un package malveillant qui a été brièvement distribué via le chemin de livraison npm pour @bitwarden/cli@2026.4.0 entre 17h57 et 19h30 (ET) le 22 avril 2026, en lien avec un incident plus large de la chaîne d’approvisionnement de Checkmarx.
L’enquête n’a révélé aucune preuve d’accès non autorisé aux données des utilisateurs finaux ni de risque de compromission des données ou des systèmes de production. Dès la détection du problème, l’accès compromis a été révoqué, la version npm malveillante a été dépréciée et des mesures correctives ont été immédiatement mises en œuvre.
Le problème a affecté le mécanisme de distribution npm pour l’interface de ligne de commande pendant cette période limitée, et non l’intégrité du code source légitime de l’interface de ligne de commande Bitwarden ou des données stockées dans le coffre-fort.
Les utilisateurs n’ayant pas téléchargé le paquet depuis npm durant cette période n’ont pas été affectés. Bitwarden a mené une analyse de ses environnements internes, de ses processus de déploiement et des systèmes associés, et aucun autre produit ou environnement impacté n’a été identifié à ce jour. Une vulnérabilité CVE est signalée pour la version 2026.4.0 de l’interface de ligne de commande Bitwarden suite à cet incident.
D’après une analyse de l’attaque publiée par Endor Labs, le dépôt GitHub de Bitwarden utilise « checkmarx/ast-github-action », un des éléments compromis lors de l’incident de la chaîne d’approvisionnement Checkmarx. Le fournisseur de solutions de sécurité applicatives a décrit l’interface de ligne de commande malveillante de Bitwarden comme l’une des charges utiles de la chaîne d’approvisionnement npm les plus sophistiquées publiées à ce jour.
« Il combine un collecteur d’identifiants multicloud ciblant six surfaces secrètes distinctes, un ver npm auto-propagateur qui réinfecte tous les packages qu’un jeton victime peut publier, un canal C2 de dépôt mort de commit GitHub avec livraison de commandes signées RSA, une exfiltration de chiffrement authentifiée qui survit à la saisie du dépôt, une persistance de code source shell et un nouveau module qui cible spécifiquement les assistants de codage IA authentifiés », a déclaré Kiran Raj, chercheur chez Endor Labs.
Des analyses complémentaires de l’attaque sont listées ci-dessous –
« Chaque charge utile, du ver CanisterSprawl au cheval de Troie scanner KICS en passant par le voleur d’identifiants xinference , a été conçue dans un seul but : extraire les identifiants des environnements de développement et de production », a déclaré GitGuardian . « La question que chaque équipe touchée devrait se poser n’est pas simplement : “Ce paquet a-t-il été exécuté dans mon environnement ?”, mais plutôt : “Quels secrets étaient accessibles, et ont-ils été renouvelés ?” »