La **CLI de Bitwarden**, la interfaz de línea de comandos para el gestor de contraseñas **Bitwarden**, ha sido reportada como comprometida como parte de una campaña de cadena de suministro de **Checkmarx** recién descubierta y en curso, según hallazgos de **JFrog** y **Socket**. "La versión del paquete afectada parece ser @bitwarden/[email protected], y el código malicioso se publicó en 'bw1.js', un archivo incluido en el contenido del paquete", dijo la empresa de seguridad de aplicaciones. "El ataque parece haber aprovechado una GitHub Action comprometida en el pipeline de CI/CD de Bitwarden, consistente con el patrón observado en otros repositorios afectados en esta campaña." En una publicación en X, **JFrog** detalló que la versión maliciosa del paquete "roba tokens de GitHub/npm, .ssh, .env, historial de shell, GitHub Actions y secretos de la nube, luego exfiltra los datos a dominios privados y como commits de GitHub." Específicamente, el código malicioso se ejecuta mediante un hook de preinstalación, lo que resulta en el robo de secretos locales, de CI, de GitHub y de la nube. Los datos se exfiltran al dominio "audit.checkmarx[.]cx" y a un repositorio de GitHub como respaldo si falla el método principal. Toda la serie de acciones se enumera a continuación - * Lanza un ladrón de credenciales que apunta a secretos de desarrolladores, entornos de GitHub Actions y configuraciones de herramientas de codificación de inteligencia artificial (IA), incluyendo Claude, Kiro, Cursor, Codex CLI y Aider. * Los datos robados se cifran con AES-256-GCM y se exfiltran a audit.checkmarx[.]cx, un dominio que suplanta a Checkmarx. * Si se encuentran tokens de GitHub, el malware los utiliza para inyectar flujos de trabajo maliciosos de Actions en repositorios y extraer secretos de CI/CD. "Un solo desarrollador con @bitwarden/[email protected] instalado puede convertirse en el punto de entrada para un compromiso más amplio de la cadena de suministro, con el atacante obteniendo acceso persistente a la inyección de flujos de trabajo en todos los pipelines de CI/CD a los que el token del desarrollador pueda acceder", dijo **StepSecurity**. Aunque la versión maliciosa ya no está disponible para su descarga desde npm, **Socket** indicó que el compromiso sigue el mismo vector de cadena de suministro de GitHub Actions identificado en la campaña de **Checkmarx**. Como parte del esfuerzo, se ha descubierto que los actores de amenazas abusan de tokens de GitHub robados para inyectar un nuevo flujo de trabajo de GitHub Actions que captura secretos disponibles para la ejecución del flujo de trabajo, y utiliza credenciales de npm recolectadas para enviar versiones maliciosas del paquete y leer el malware a usuarios posteriores. Según el investigador de seguridad Adnan Khan, se dice que el actor de amenazas utilizó un flujo de trabajo malicioso para publicar la CLI maliciosa de bitwarden. "Creo que esta es la primera vez que se compromete un paquete que utiliza la publicación confiable de NPM", afirmó Khan. Cadena de Ataque  *Cadena de Ataque de la CLI de Bitwarden | Fuente: OX Security* Se sospecha que el actor de amenazas conocido como TeamPCP está detrás del último ataque dirigido a **Checkmarx**. Al momento de escribir esto, las cuentas de TeamPCP en GitHub han sido eliminadas por violar las reglas de la plataforma. **OX Security**, en un análisis del ataque, informó haber identificado la cadena "Shai-Hulud: The Third Coming" en el paquete, lo que sugiere que esta podría ser la próxima fase de la campaña de ataque a la cadena de suministro que salió a la luz el año pasado.  *Referencia a "Shai-Hulud: The Third Coming"* "El último incidente de Shai Hulud es solo el último de una larga cadena de amenazas dirigidas a desarrolladores en todo el mundo. Los datos de los usuarios se están exfiltrando públicamente a GitHub, a menudo pasando desapercibidos porque las herramientas de seguridad típicamente no marcan los datos que se envían allí", dijo Moshe Siman Tov Bustan, Líder del Equipo de Investigación de Seguridad en **OX Security**. "Esto hace que el riesgo sea significativamente más peligroso: cualquiera que busque en GitHub puede encontrar y acceder a esas credenciales. En ese punto, los datos sensibles ya no están en manos de un solo actor de amenazas, sino expuestos a cualquiera." Al igual que en el caso del incidente de **Checkmarx**, los datos robados se exfiltran a repositorios públicos creados bajo cuentas de víctimas utilizando un esquema de nomenclatura temático de Dune en el mismo formato "<palabra>-<palabra>-<3 dígitos>". "Pero en un giro interesante, el malware también está diseñado para dejar de ejecutarse en sistemas si su configuración regional corresponde a Rusia." "Las herramientas compartidas sugieren fuertemente una conexión con el mismo ecosistema de malware, pero las firmas operacionales difieren de maneras que complican la atribución", dijo **Socket**. "Esto sugiere un operador diferente que utiliza infraestructura compartida, un grupo escindido con motivaciones ideológicas más fuertes, o una evolución en la postura pública de la campaña." **Bitwarden** confirmó el incidente y dijo que se originó en el compromiso de su mecanismo de distribución de npm tras el ataque a la cadena de suministro de **Checkmarx**, pero enfatizó que no se accedió a datos de usuarios finales como parte del ataque. La declaración completa compartida con The Hacker News se reproduce textualmente a continuación - *El equipo de seguridad de Bitwarden identificó y contuvo un paquete malicioso que se distribuyó brevemente a través de la ruta de entrega de npm para @bitwarden/[email protected] entre las 5:57 PM y las 7:30 PM (ET) del 22 de abril de 2026, en conexión con un incidente más amplio de cadena de suministro de Checkmarx.* *La investigación no encontró evidencia de que se accediera o estuviera en riesgo a datos de bóveda de usuarios finales, o que se comprometieran datos de producción o sistemas de producción. Una vez detectado el problema, se revocó el acceso comprometido, se descontinuó la versión maliciosa de npm y se iniciaron inmediatamente los pasos de remediación.* *El problema afectó el mecanismo de distribución de npm para la CLI durante esa ventana limitada, no la integridad del código legítimo de la CLI de Bitwarden o los datos de bóveda almacenados.* *Los usuarios que no descargaron el paquete de npm durante esa ventana no se vieron afectados. Bitwarden ha completado una revisión de los entornos internos, las rutas de lanzamiento y los sistemas relacionados, y no se han identificado productos o entornos adicionales afectados en este momento. Se emitirá una CVE para la versión 2026.4.0 de Bitwarden CLI en conexión con este incidente.* Según un análisis del ataque publicado por **Endor Labs**, el repositorio de GitHub de **Bitwarden** utiliza "checkmarx/ast-github-action", que fue uno de los artefactos comprometidos en el incidente de la cadena de suministro de **Checkmarx**. El proveedor de seguridad de aplicaciones describió la CLI maliciosa de **Bitwarden** como uno de los "payloads de cadena de suministro de npm más capaces" publicados hasta la fecha. "Combina un recolector de credenciales multicloud que apunta a seis superficies de secretos distintas, un gusano de npm que se autopropaga y reinfecta todos los paquetes que un token de víctima puede publicar, un canal C2 de entrega de comandos con firma RSA mediante commits de GitHub, exfiltración con cifrado autenticado que sobrevive a la incautación del repositorio, persistencia de shell RC y un módulo novedoso que se dirige específicamente a