Bitwarden CLI s'est engagé: la campagne de chaîne d'approvisionnement qui a volé des jetons et laissé en contrôle CI / CD

Un paquet malveillant brièvement publié sur npm a compromis la distribution de la CLI de Bitwarden et mis en danger les références sensibles des développeurs et des systèmes CI / CD. Les sources techniques qui ont enquêté sur l'incident ont identifié la version touchée comme 2026.4.0 qui était disponible pour un court intervalle le 22 avril 2026; Bitwarden a confirmé que le problème était limité à son canal npm et à ceux qui ont téléchargé ce paquet spécifique, et a déclaré qu'il n'y a aucune preuve d'accès aux données de chambre forte ou aux systèmes de production, selon sa communication publique fonctionnaire.

L'analyse technique médico-légale montre un modèle d'attaque de chaîne d'approvisionnement : les attaquants auraient manipulé le processus CI / CD (éventuellement par une action GitHub compromise) pour injecter un chargeur dans les scripts de pré-installation du paquet. Ce chargeur télécharge un runtime (Bun), exécute un fichier affusé et développe un infostealer qui recueille des jetons npm et GitHub, des clés SSH et des identifiants de cloud public, crypte les résultats avec AES-256-GCM et exfiltre les données en créant des dépôts publics sous les comptes des victimes - dépôts qui, dans plusieurs cas, contiennent la chaîne "Shai-Hulud: The Third Coming" liée aux campagnes précédentes - comme documenté par les équipements d'analyse et de réponse communautaires indépendant et fournisseurs de recherche technique.

En plus de l'extraction, les logiciels malveillants incorporent des mécanismes de propagation: vous pouvez utiliser des jetons volés pour identifier les paquets que la victime peut publier et modifier ces projets pour insérer un code malveillant supplémentaire, faisant un engagement initial à une menace autoréplicatrice dans l'écosystème de paquet. Le profil de la campagne et certaines coïncidences techniques indiquent un acteur lié à des incidents antérieurs contre des paquets et des outils de développement, ce qui souligne que les développeurs sont aujourd'hui un objectif stratégique pour les acteurs qui cherchent à pivoter vers des infrastructures plus précieuses.

Si vous avez téléchargé la version touchée, vous devez supposer que les secrets de l'environnement ont été compromis: immédiatement cassé tous les jetons, clés et pouvoirs exposés en particulier ceux utilisés par les pipelines, les intégrations CI / CD et les services cloud. Réviser les jetons npm et GitHub, remplacer les clés SSH et les clés d'accès aux services Cloud, invalider les identifiants stockés dans les coureurs et revoir l'historique d'action de GitHub pour détecter les créations de dépôts publics ou les activités inhabituelles. Changer les secrets sans purger l'accès latéral ou les identifiants stockés dans les coureurs ou les serveurs persistants laisse la porte ouverte à la réutilisation par l'attaquant.

Dans le domaine de la prévention et de l'atténuation continue, le développement et la chaîne d'approvisionnement devraient être renforcés : limiter la portée des jetons (le principe de moins de privilège), utiliser des jetons à court terme et des références éphémères, activer l'authentification multifactorielle dans les comptes des développeurs et dans npm / GitHub, auditionner et mettre en place des versions dans les fichiers verrous, appliquer la numérisation de la dépendance et détecter des secrets dans l'IC et adopter des pratiques d'intégrité du bâtiment telles que les signatures SLSA ou artefacts dans la mesure du possible. Il est également recommandé d'examiner les mesures de GitHub et les autres mesures d'intégration utilisées dans les pipelines pour détecter les composants tiers dangereux ou excessifs, et de mettre en oeuvre des politiques pour examiner les changements dans les flux de publication de paquets.

Pour les chercheurs et les équipes de réponse, les signaux à rechercher comprennent des scripts pré-installés inhabituels (par exemple des références à bw _ setup.js dans ce cas), des téléchargements d'exécutions inhabituelles, des processus qui invoquent des binaires tels que Bun à partir de paquets et l'émergence de nouveaux dépôts publics avec des artefacts chiffrés ou des noms / chaînes déjà associés à des campagnes précédentes. Les organisations devraient combiner l'analyse logarithmique, la détection du comportement des paramètres et l'examen de la vérification dans GitHub pour reconstruire la portée et confirmer la rupture des secrets.

Bitwarden a agi rapidement pour révoquer les accès engagés et déprécier la publication touchée, mais cet incident renforce une leçon récurrente : aucune unité pour les développeurs n'est inoculée par défaut. L'équipement devrait traiter les outils de développement comme des haut-parleurs de risque et appliquer des contrôles semblables à ceux qui protègent les environnements de production : contrôle d'accès, surveillance active et réponse automatisée aux indicateurs d'engagement. Pour plus d'informations techniques et de suivi des cas, voir les analyses publiques et la note Bitwarden ci-dessus.