Angreifer haben erfolgreich **Docker**-Images, **VSCode**- und **Open VSX**-Erweiterungen kompromittiert, die mit dem **Checkmarx KICS**-Analysewerkzeug verbunden sind. Ziel dieses Vorfalls war die Exfiltration sensibler Daten direkt aus Entwicklungsumgebungen. ### Was ist KICS? **KICS** (Keeping Infrastructure as Code Secure) ist ein kostenloser Open-Source-Sicherheitsscanner, der Entwicklern hilft, Schwachstellen in Quellcode, Abhängigkeiten und Konfigurationsdateien zu identifizieren. Er wird häufig lokal über die CLI oder **Docker** verwendet und verarbeitet sensible Infrastrukturkonfigurationen, die oft Anmeldeinformationen, Token und Details zur internen Architektur enthalten. Das auf Abhängigkeitssicherheit spezialisierte Unternehmen **Socket** leitete eine Untersuchung ein, nachdem **Docker** eine Warnung bezüglich bösartiger Images herausgegeben hatte, die in das offizielle `checkmarx/kics` **Docker Hub**-Repository hochgeladen wurden. Die Untersuchung ergab, dass die Kompromittierung über das trojanisierte **KICS Docker**-Image hinaus auf **VS Code**- und **Open VSX**-Erweiterungen ausgedehnt wurde. Diese Erweiterungen luden eine versteckte 'MCP Addon'-Funktion herunter, die darauf ausgelegt war, Malware zum Stehlen von Geheimnissen zu laden. ### Die 'MCP Addon'-Malware **Socket** entdeckte, dass die 'MCP Addon'-Funktion eine mehrstufige Komponente zum Diebstahl von Anmeldeinformationen namens `mcpAddon.js` von einer fest kodierten **GitHub**-URL herunterlud. Laut Forschern zielt die Malware speziell auf Daten ab, die von **KICS** verarbeitet werden, darunter **GitHub**-Token, Cloud-Anmeldeinformationen für **AWS**, **Azure** und **Google Cloud**, **npm**-Token, **SSH**-Schlüssel, **Claude**-Konfigurationen und Umgebungsvariablen. Die gestohlenen Daten werden dann verschlüsselt und an `audit.checkmarx[.]cx` exfiltriert, eine Domain, die legitime **Checkmarx**-Infrastruktur imitiert. Darüber hinaus erstellt die Malware automatisch öffentliche **GitHub**-Repositorys zur Datenexfiltration. .jpg) _Quelle: Socket_ ### Zeitplan des Angriffs Es ist wichtig zu beachten, dass **Docker**-Tags vorübergehend auf einen bösartigen Digest umgeleitet wurden. Die Auswirkungen hängen davon ab, wann die Images heruntergeladen wurden. Der gefährliche Zeitraum für das **DockerHub KICS**-Image war vom 22.04.2026 14:17:59 UTC bis zum 22.04.2026 15:41:31 UTC. Betroffene Tags wurden auf ihre legitimen Image-Digests zurückgesetzt, und der gefälschte `v2.1.21`-Tag wurde vollständig entfernt. ### Abhilfemaßnahmen Entwickler, die die kompromittierten Images im angegebenen Zeitraum heruntergeladen haben, sollten davon ausgehen, dass ihre Geheimnisse kompromittiert wurden. Sofortige Maßnahmen umfassen: * Rotation aller Geheimnisse so schnell wie möglich. * Wiederherstellung von Umgebungen von einem bekannten sicheren Punkt. Obwohl die **TeamPCP**-Hacker, die die Verantwortung für die Supply-Chain-Kompromittierungen von **Trivy** und **LiteLLM** übernahmen, auch diesen Angriff beanspruchten, haben Forscher keine ausreichenden Beweise gefunden, um den Angriff über musterbasierte Korrelationen hinaus eindeutig zuzuordnen. ### Reaktion von Checkmarx **Checkmarx** hat ein Sicherheitsbulletin zu dem Vorfall veröffentlicht und versichert den Benutzern, dass alle bösartigen Artefakte entfernt wurden und ihre offengelegten Anmeldeinformationen widerrufen und rotiert wurden. Das Unternehmen untersucht den Vorfall aktiv mit Unterstützung externer Experten und hat weitere Updates zugesagt. Benutzern des kompromittierten Tools wird geraten: * Zugriff auf `checkmarx.cx => 91[.]195[.]240[.]123` und `audit.checkmarx.cx => 94[.]154[.]172[.]43` zu blockieren. * Verwendung von angehefteten SHAs. * Rückkehr zu bekannten sicheren Versionen. * Rotation von Geheimnissen und Anmeldeinformationen, wenn eine Kompromittierung vermutet oder bestätigt wird. Die neuesten sicheren Versionen der kompromittierten Projekte sind: * **DockerHub KICS**: v2.1.20 * **Checkmarx** ast-github-action: v2.3.36 * **Checkmarx VS Code** extensions: v2.64.0 * **Checkmarx** Developer Assist extension: v1.18.0