Paquete npm de Bitwarden CLI comprometido para robar credenciales de desarrolladores

El CLI de Bitwarden fue comprometido brevemente después de que atacantes subieran un paquete malicioso @bitwarden/cli a npm que contenía una carga útil robadora de credenciales, capaz de propagarse a otros proyectos. Según informes de Socket, JFrog y OX Security, el paquete malicioso se distribuyó como la versión 2026.4.0 y estuvo disponible entre las 5:57 PM y 7:30 PM ET del 22 de abril de 2026, antes de ser eliminado.

Bitwarden confirmó el incidente, afirmando que la brecha afectó solo su canal de distribución npm para el paquete CLI y solo a quienes descargaron la versión maliciosa.

"La investigación no encontró evidencia de que los datos del vault de los usuarios finales fueran accedidos o estuvieran en riesgo, ni que los datos de producción o los sistemas de producción fueran comprometidos. Una vez detectado el problema, se revocó el acceso comprometido, se desaprobó la versión maliciosa de npm y se iniciaron de inmediato los pasos de remediación," compartió Bitwarden en un comunicado.

"El problema afectó el mecanismo de distribución npm para el CLI durante esa ventana limitada, no la integridad del código base legítimo de Bitwarden CLI ni los datos almacenados en los vaults."

Bitwarden dice que revocó el acceso comprometido y desaprobó la versión afectada del CLI npm.

El ataque a la cadena de suministro de Bitwarden

Según Socket, los actores de amenazas parecen haber utilizado una GitHub Action comprometida en el pipeline CI/CD de Bitwarden para inyectar código malicioso en el paquete npm del CLI. De acuerdo con JFrog, el paquete fue modificado para que el script de preinstalación y el punto de entrada del CLI usaran un cargador personalizado llamado bw_setup.js, que verifica la existencia del runtime Bun y, si no existe, lo descarga.

El cargador luego utiliza el runtime Bun para ejecutar un archivo JavaScript ofuscado llamado bw1.js, que actúa como malware robador de credenciales. Una vez ejecutado, el malware recolecta una amplia gama de secretos de sistemas infectados, incluyendo tokens npm, tokens de autenticación de GitHub, claves SSH y credenciales de nube para AWS, Azure y Google Cloud.

El malware cifra los datos recolectados usando AES-256-GCM y los exfiltra creando repositorios públicos de GitHub bajo la cuenta de la víctima, donde se almacenan los datos cifrados. OX Security señala que estos repositorios creados contienen la cadena "Shai-Hulud: The Third Coming", una referencia a ataques previos a la cadena de suministro de npm que usaron un método y texto similar al exfiltrar datos robados.

El malware también cuenta con capacidades de autopropagación, según OX Security, ya que puede usar credenciales npm robadas para identificar paquetes que la víctima puede modificar e inyectarles código malicioso. Socket también observó que la carga útil apunta a entornos CI/CD e intenta cosechar secretos que pueden reutilizarse para expandir el ataque.

El ataque ocurre después de que Checkmarx revelara un incidente separado de cadena de suministro que afecta sus imágenes Docker KICS, GitHub Actions y extensiones de desarrollador. Aunque no se sabe exactamente cómo los atacantes obtuvieron acceso, Bitwarden dijo a BleepingComputer que el incidente estuvo vinculado al ataque a la cadena de suministro de Checkmarx, con una herramienta de desarrollo comprometida relacionada con Checkmarx que permitió abusar de la ruta de entrega npm del CLI durante una ventana de tiempo limitada.

Socket informó a BleepingComputer que hay indicadores superpuestos entre la brecha de Checkmarx y este ataque.

"La conexión está a nivel de malware e infraestructura. En el caso de Bitwarden, la carga útil maliciosa usa el mismo endpoint audit.checkmarx[.]cx/v1/telemetry que apareció en el incidente de Checkmarx. También usa la misma rutina de ofuscación __decodeScrambled con la semilla 0x3039, y muestra el mismo patrón general de robo de credenciales, exfiltración basada en GitHub y comportamiento de propagación en la cadena de suministro," dijo Socket a BleepingComputer.

"Esa superposición va más allá de una semejanza superficial. La carga útil de Bitwarden contiene el mismo tipo de componentes gzip+base64 incrustados que vimos en el malware anterior, incluyendo herramientas para la recolección de credenciales y abuso posterior."

Ambas campañas han sido vinculadas a un actor de amenazas conocido como TeamPCP, que previamente atacó paquetes de desarrolladores en los ataques masivos a la cadena de suministro de Trivy y LiteLLM.

Los desarrolladores que instalaron la versión afectada deben tratar sus sistemas y credenciales como comprometidos y rotar todas las credenciales expuestas, especialmente las utilizadas para pipelines CI/CD, almacenamiento en la nube y entornos de desarrollo.