_Aktualisiert mit weiteren Informationen von Bitwarden._ Die Bitwarden CLI wurde kurzzeitig kompromittiert, nachdem Angreifer ein bösartiges `@bitwarden/cli`-Paket auf npm hochgeladen hatten, das eine Anmeldedaten-stehlende Payload enthielt, die sich auf andere Projekte ausbreiten konnte. Laut Berichten von Socket, JFrog und OX Security wurde das bösartige Paket als Version 2026.4.0 vertrieben und war zwischen 17:57 und 19:30 Uhr ET am 22. April 2026 verfügbar, bevor es entfernt wurde. Bitwarden bestätigte den Vorfall und gab an, dass der Verstoß nur den npm-Distributionskanal für das CLI-npm-Paket betraf und nur diejenigen, die die bösartige Version heruntergeladen hatten. "Die Untersuchung ergab keine Beweise dafür, dass auf Endbenutzer-Vault-Daten zugegriffen wurde oder diese gefährdet waren, oder dass Produktionsdaten oder Produktionssysteme kompromittiert wurden. Sobald das Problem erkannt wurde, wurde der kompromittierte Zugriff widerrufen, die bösartige npm-Version wurde als veraltet markiert und sofort wurden Abhilfemaßnahmen eingeleitet", teilte Bitwarden in einer Erklärung mit. "Das Problem betraf den npm-Distributionsmechanismus für die CLI während dieses begrenzten Zeitfensters, nicht die Integrität der legitimen Bitwarden CLI-Codebasis oder der gespeicherten Vault-Daten." Bitwarden gibt an, den kompromittierten Zugriff widerrufen und die betroffene CLI-npm-Version als veraltet markiert zu haben. ## Der Bitwarden Supply-Chain-Angriff Laut Socket scheinen die Bedrohungsakteure eine kompromittierte GitHub Action in der CI/CD-Pipeline von Bitwarden genutzt zu haben, um bösartigen Code in das CLI-npm-Paket einzuschleusen. Laut JFrog wurde das Paket so modifiziert, dass das `preinstall`-Skript und der CLI-Einstiegspunkt einen benutzerdefinierten Loader namens `bw_setup.js` verwenden, der nach der Bun-Laufzeitumgebung sucht und diese herunterlädt, falls sie nicht vorhanden ist. Der Loader verwendet dann die Bun-Laufzeitumgebung, um eine obfuskierte JavaScript-Datei namens `bw1.js` zu starten, die als Anmeldedaten-stehlende Malware fungiert.  Nach der Ausführung sammelt die Malware eine breite Palette von Geheimnissen von infizierten Systemen, darunter npm-Tokens, GitHub-Authentifizierungstokens, SSH-Schlüssel und Cloud-Anmeldedaten für AWS, Azure und Google Cloud. Die Malware verschlüsselt die gesammelten Daten mit AES-256-GCM und exfiltriert sie, indem sie öffentliche GitHub-Repositories unter dem Konto des Opfers erstellt, wo die verschlüsselten Daten gespeichert werden. OX Security gibt an, dass diese erstellten Repositories den String "Shai-Hulud: The Third Coming" enthalten, eine Anspielung auf frühere npm-Supply-Chain-Angriffe, die eine ähnliche Methode und Zeichenkette bei der Exfiltration gestohlener Daten verwendeten.  Die Malware verfügt auch über Funktionen zur Selbstreplikation. OX Security berichtet, dass sie gestohlene npm-Anmeldedaten verwenden kann, um Pakete zu identifizieren, die das Opfer ändern kann, und diese mit bösartigem Code zu infizieren. Socket beobachtete ebenfalls, dass die Payload auf CI/CD-Umgebungen abzielt und versucht, Geheimnisse zu ernten, die zur Erweiterung des Angriffs wiederverwendet werden können. Der Angriff erfolgt, nachdem Checkmarx einen separaten Supply-Chain-Vorfall offengelegt hat, der seine KICS Docker-Images, GitHub Actions und Entwicklererweiterungen betrifft. Obwohl nicht genau bekannt ist, wie die Angreifer Zugriff erhielten, teilte Bitwarden BleepingComputer mit, dass der Vorfall mit dem Supply-Chain-Angriff von Checkmarx in Verbindung stand, wobei ein kompromittiertes Checkmarx-bezogenes Entwicklungstool den Missbrauch des npm-Lieferpfads für die CLI während eines begrenzten Zeitfensters ermöglichte. Socket teilte BleepingComputer mit, dass es überlappende Indikatoren zwischen dem Checkmarx-Verstoß und diesem Angriff gibt. "Die Verbindung besteht auf Malware- und Infrastrukturebene. Im Bitwarden-Fall verwendet die bösartige Payload denselben `audit.checkmarx[.]cx/v1/telemetry`-Endpunkt, der im Checkmarx-Vorfall auftrat. Sie verwendet auch dieselbe `__decodeScrambled`-Obfuskationsroutine mit dem Seed `0x3039` und zeigt dasselbe allgemeine Muster des Diebstahls von Anmeldedaten, der GitHub-basierten Exfiltration und des Verhaltens der Supply-Chain-Verbreitung", sagte Socket zu BleepingComputer. "Diese Überschneidung geht über eine oberflächliche Ähnlichkeit hinaus. Die Bitwarden-Payload enthält dieselbe Art von eingebetteten gzip+base64-Komponenten, die wir in der früheren Malware gesehen haben, einschließlich Tools zur Sammlung von Anmeldedaten und nachgelagerten Missbrauch." Beide Kampagnen wurden mit einem Bedrohungsakteur namens TeamPCP in Verbindung gebracht, der zuvor Entwicklerpakete in den massiven Trivy- und LiteLLM-Supply-Chain-Angriffen ins Visier genommen hatte. Entwickler, die die betroffene Version installiert haben, sollten ihre Systeme und Anmeldedaten als kompromittiert betrachten und alle exponierten Anmeldedaten rotieren, insbesondere diejenigen, die für CI/CD-Pipelines, Cloud-Speicher und Entwicklungsumgebungen verwendet werden. _Update 4/23/26: Die Geschichte wurde mit Informationen von Bitwarden aktualisiert, die bestätigen, dass der Vorfall mit dem Checkmarx-Supply-Chain-Angriff in Verbindung stand._