Bitwarden CLI kompromittert i 90 minutter: ondsinnet npm-utgivelse stjal tokens

torsdag 23. april · KI-generert · Kilde: Socket.dev

Innholdet er KI-generert og kan inneholde feil. Sjekk originalkilden.

Roter alle GitHub-, npm-, AWS- og SSH-tokens som var eksponert i CI-miljøer mellom 22. april klokka 03:58 og 05:30 UTC hvis Bitwarden CLI v2026.4.0 var installert.

Severity: Høy. Ingen CVE tildelt ennå. Angrepsvektor er supply-chain via kompromittert GitHub Action i Bitwardens CI/CD-pipeline, ikke en sårbarhet i Bitwarden-klienten selv. Selve passord-hvelvene ble aldri berørt.

90 minutter var vinduet der den ondsinnede pakka lå ute på npm. Socket identifiserte filen bw1.js inkludert i @bitwarden/cli@2026.4.0, og bekreftet at den deler C2-infrastruktur med Checkmarx-kampanjens tidligere mcpAddon.js. Bitwarden CLI har over 10 millioner brukere og er i topp tre blant enterprise-passordforvaltere, så eksponeringsflaten er stor selv i et så kort vindu.

«Vi anbefaler at dere roterer alle hemmeligheter som kan ha vært eksponert mot den kompromitterte workflowen, inkludert GitHub-tokens, npm-tokens, skyreferanser, SSH-nøkler og CI/CD-hemmeligheter.» — Socket, teknisk rapport

Payloaden er en utvidelse av det som ble kalt Shai-Hulud-kampanjen. Den skraper GitHub-tokens fra minnet til Actions Runner.Worker, stjeler AWS-credentials fra ~/.aws/, Azure-tokens via azd, GCP-credentials via gcloud, .npmrc-filer, SSH-nøkler og Claude/MCP-konfigurasjonsfiler. Resultatene eksfiltreres som commits til offentlige repoer opprettet under offerets konto, navngitt etter Dune-termer som fremen, sietch, melange og sandworm. Malwaren avslutter stille hvis systemets locale starter med ru, og legger persistent payload i både ~/.bashrc og ~/.zshrc.

Selv Chrome-utvidelsen og Bitwardens MCP-server er uberørt. Det er kun npm-pakka som ble erstattet.

Nøkkeltall

90 minutter var pakken tilgjengelig før Bitwarden trakk den 22. april

10 millioner brukere og over 50 000 bedrifter bruker Bitwarden

~30 Dune-navngitte nøkkelord som fremen, harkonnen, sandworm brukes til å navngi eksfiltrerings-repoer

audit.checkmarx[.]cx er C2-endepunktet som binder payloaden til Checkmarx-kampanjen

Hva bør du gjøre?

Fjern @bitwarden/cli@2026.4.0 fra alle build-miljøer og developer-maskiner. Oppgrader til en ren versjon (før 2026.4.0 eller en fikset utgivelse).
Roter tokens eksponert i CI etter 22. april. GitHub PAT-er, npm publish-tokens, AWS access keys, Azure service principals, GCP service accounts, SSH-nøkler i build-runners.
Søk GitHub-kontoene dine etter nye offentlige repoer navngitt {ord}-{ord}-{tall}. Socket lister fremen, sietch, melange, sandworm, harkonnen blant 30+ mønstre. Sjekk også for uventede workflow-filer i .github/workflows/.
Se etter lokal persistens. Filen /tmp/tmp.987654321.lock og nye linjer nederst i ~/.bashrc eller ~/.zshrc indikerer kompromittering.

Bakgrunn

Dette er tredje bølge i Checkmarx-kampanjen som startet tidligere i april med ondsinnede KICS Docker-images og VS Code-utvidelser, og har spredd seg via stjålne GitHub Actions som publiserer infiserte versjoner av legitime pakker. Angrepet utnytter at mange utviklere kjører npm install uten å låse versjoner eller verifisere lockfiles mot kjente-gode hasher.

Les originalen hos Socket.dev