Underc0de - La Casa de los Informáticos

La seguridad del ecosistema de desarrollo vuelve a estar en el punto de mira tras confirmarse el compromiso de la herramienta Bitwarden CLI, afectada por un sofisticado ataque de cadena de suministro vinculado a la campaña de Checkmarx. Investigaciones recientes de JFrog y Socket revelan que la versión maliciosa @bitwarden/[email protected] fue utilizada para robar credenciales críticas y comprometer entornos de desarrollo.

Este incidente representa una evolución significativa en los ataques supply chain, donde los actores maliciosos ya no solo comprometen paquetes, sino que también explotan pipelines CI/CD y tokens legítimos para expandir el alcance del ataque.

¿Qué ocurrió con Bitwarden CLI?

El paquete comprometido contenía código malicioso incrustado en el archivo bw1.js, el cual se ejecutaba automáticamente mediante un hook de preinstalación. Este mecanismo permitía iniciar la recolección de datos sensibles sin intervención del usuario.

Según los análisis, el ataque se originó a partir de una acción comprometida en GitHub Actions, lo que permitió a los atacantes insertar código malicioso directamente en el flujo de distribución del paquete npm.

Capacidades del malware: robo masivo de credenciales

El malware integrado en la CLI comprometida desplegaba un sistema avanzado de exfiltración de datos, dirigido principalmente a desarrolladores y entornos de automatización. Entre los objetivos identificados se incluyen:

• Tokens de GitHub y npm
• Archivos .ssh y .env
• Historial de comandos del sistema
• Secretos de pipelines CI/CD
• Configuraciones de herramientas de inteligencia artificial

Entre las herramientas afectadas destacan plataformas emergentes de desarrollo asistido por IA como Claude, Cursor, Codex CLI y Aider, lo que evidencia un cambio en el enfoque de los atacantes hacia entornos modernos de desarrollo.

Exfiltración sigilosa y persistencia

Los datos robados eran cifrados utilizando el estándar AES-256-GCM antes de ser enviados al dominio malicioso audit.checkmarx[.]cx, diseñado para hacerse pasar por infraestructura legítima de Checkmarx.

En caso de fallo en la exfiltración principal, el malware utilizaba repositorios de GitHub como canal alternativo, subiendo los datos a repositorios públicos creados bajo cuentas comprometidas.

Este enfoque resulta especialmente peligroso, ya que los datos expuestos en GitHub pueden pasar desapercibidos y quedar accesibles públicamente.

Escalada del ataque: compromiso de pipelines CI/CD

Uno de los aspectos más críticos del ataque es su capacidad de propagación. Cuando el malware detecta tokens de GitHub válidos, los utiliza para:

• Inyectar workflows maliciosos en repositorios
• Ejecutar acciones automatizadas para extraer secretos
• Publicar nuevas versiones comprometidas del paquete en npm

Esto convierte a un solo desarrollador comprometido en una puerta de entrada hacia toda una organización, permitiendo acceso persistente a múltiples pipelines.

Según expertos, este tipo de ataque puede escalar rápidamente y afectar a cientos o miles de proyectos interconectados.

Relación con la campaña Checkmarx y "Shai-Hulud"

El incidente está vinculado a una campaña más amplia identificada previamente en el ecosistema de Checkmarx. Investigadores de OX Security encontraron referencias a "Shai-Hulud: La Tercera Venida" dentro del código, lo que sugiere una nueva fase de ataques.

Además, se ha observado que los datos robados se almacenan en repositorios con nombres temáticos inspirados en la saga Dune, siguiendo el patrón <palabra>-<palabra>-<3 dígitos>.

Curiosamente, el malware incluye lógica para evitar ejecutarse en sistemas ubicados en Rusia, lo que podría indicar motivaciones geopolíticas o estrategias de evasión.

Actor de amenaza y atribución

Aunque la atribución sigue siendo incierta, se sospecha que el grupo conocido como TeamPCP está detrás del ataque. Sin embargo, las diferencias en patrones operativos sugieren que podría tratarse de:

• Un grupo distinto utilizando infraestructura compartida
• Una evolución del mismo actor
• Una fragmentación interna con nuevos objetivos

Esta ambigüedad complica las tareas de defensa y análisis.

Respuesta oficial de Bitwarden

Bitwarden confirmó el incidente y aclaró que el compromiso afectó únicamente al mecanismo de distribución npm durante una ventana limitada (22 de abril de 2026, entre 17:57 y 19:30 ET).

La empresa enfatizó que:

• No se accedió a datos de usuarios finales
• La bóveda de contraseñas no fue comprometida
• El código fuente legítimo permanece intacto

Tras detectar el problema, se revocaron accesos comprometidos, se eliminó la versión maliciosa y se iniciaron medidas de remediación. Además, se ha anunciado la emisión de una CVE específica para este incidente.

Impacto en la seguridad de la cadena de suministro

Este ataque subraya un problema crítico en el ecosistema moderno de desarrollo: la dependencia de terceros y automatización introduce riesgos significativos.

Los ataques supply chain están evolucionando hacia:

• Compromiso de herramientas CI/CD
• Abuso de tokens legítimos
• Exfiltración encubierta mediante servicios confiables
• Ataques dirigidos a desarrolladores

La confianza implícita en paquetes npm y pipelines automatizados se ha convertido en un vector de ataque de alto valor.

Recomendaciones de seguridad

Para mitigar riesgos similares, se recomienda:

1. Auditar dependencias

Verificar versiones de paquetes y evitar instalar versiones comprometidas.

2. Rotar credenciales inmediatamente

Revocar y regenerar tokens de GitHub, npm y claves SSH.

3. Revisar pipelines CI/CD

Buscar workflows sospechosos o modificaciones no autorizadas.

4. Implementar firmas y verificación

Utilizar mecanismos de integridad como firmas criptográficas.

5. Monitorizar actividad en repositorios

Detectar accesos anómalos o exfiltración de datos.

Una amenaza creciente para desarrolladores

El compromiso de Bitwarden CLI marca un punto de inflexión en los ataques a la cadena de suministro. La combinación de automatización, confianza en herramientas externas y uso de tokens privilegiados crea un entorno ideal para ataques de alto impacto.

Este incidente demuestra que la seguridad ya no depende únicamente del código, sino de todo el ecosistema que lo rodea. En un contexto donde un solo punto de fallo puede comprometer múltiples sistemas, adoptar una estrategia de seguridad proactiva es más crítico que nunca.

Fuente: https://thehackernews.com/