O **Bitwarden CLI**, a interface de linha de comando para o gerenciador de senhas **Bitwarden**, foi supostamente comprometido como parte de uma campanha recém-descoberta e em andamento de cadeia de suprimentos da **Checkmarx**, de acordo com descobertas da **JFrog** e **Socket**. "A versão afetada do pacote parece ser @bitwarden/[email protected], e o código malicioso foi publicado em 'bw1.js', um arquivo incluído no conteúdo do pacote", disse a empresa de segurança de aplicações. "O ataque parece ter alavancado uma GitHub Action comprometida no pipeline CI/CD do Bitwarden, consistente com o padrão visto em outros repositórios afetados nesta campanha." Em uma postagem no X, a **JFrog** afirmou que a versão maliciosa do pacote "rouba tokens do GitHub/npm, .ssh, .env, histórico de shell, GitHub Actions e segredos de nuvem, e então exfiltra os dados para domínios privados e como commits do GitHub." Especificamente, o código malicioso é executado por meio de um hook de pré-instalação, resultando no roubo de segredos locais, de CI, do GitHub e de nuvem. Os dados são exfiltrados para o domínio "audit.checkmarx[.]cx" e para um repositório do GitHub como fallback caso o método principal falhe. Toda a série de ações está listada abaixo - * Lança um coletor de credenciais que visa segredos de desenvolvedores, ambientes de GitHub Actions e configurações de ferramentas de codificação de inteligência artificial (IA), incluindo Claude, Kiro, Cursor, Codex CLI e Aider. * Os dados roubados são criptografados com AES-256-GCM e exfiltrados para audit.checkmarx[.]cx, um domínio que se passa por Checkmarx. * Se tokens do GitHub forem encontrados, o malware os utiliza para injetar fluxos de trabalho maliciosos de Actions em repositórios e extrair segredos de CI/CD. "Um único desenvolvedor com @bitwarden/[email protected] instalado pode se tornar o ponto de entrada para um comprometimento mais amplo da cadeia de suprimentos, com o atacante obtendo acesso persistente de injeção de workflow a todos os pipelines de CI/CD que o token do desenvolvedor pode alcançar", disse a **StepSecurity**. Embora a versão maliciosa não esteja mais disponível para download no npm, a **Socket** disse que o comprometimento segue o mesmo vetor de cadeia de suprimentos de GitHub Actions identificado na campanha da **Checkmarx**. Como parte do esforço, atores de ameaça foram encontrados abusando de tokens roubados do GitHub para injetar um novo fluxo de trabalho do GitHub Actions que captura segredos disponíveis para a execução do workflow, e usa credenciais npm coletadas para enviar versões maliciosas do pacote para ler o malware para usuários downstream. De acordo com o pesquisador de segurança Adnan Khan, o ator de ameaça teria usado um workflow malicioso para publicar o CLI malicioso do Bitwarden. "Acredito que esta é a primeira vez que um pacote usando publicação confiável do NPM foi comprometido", disse Khan. Attack Chain  *Bitwarden CLI Attack Chain | Fonte: OX Security* Suspeita-se que o ator de ameaça conhecido como TeamPCP esteja por trás do último ataque visando a **Checkmarx**. No momento da escrita, as contas do TeamPCP foram desativadas pela plataforma devido a violações das regras da plataforma. A **OX Security**, em uma análise do ataque, disse ter identificado a string "Shai-Hulud: The Third Coming" no pacote, sugerindo que esta poderia ser a próxima fase da campanha de ataque de cadeia de suprimentos que veio à tona no ano passado.  *Referência a "Shai-Hulud: The Third Coming"* "O último incidente Shai Hulud é apenas o mais recente em uma longa cadeia de ameaças visando desenvolvedores em todo o mundo. Dados de usuários estão sendo exfiltrados publicamente para o GitHub, muitas vezes passando despercebidos porque as ferramentas de segurança normalmente não sinalizam dados sendo enviados para lá", disse Moshe Siman Tov Bustan, Security Research Team Lead na **OX Security**. "Isso torna o risco significativamente mais perigoso: qualquer pessoa que pesquise no GitHub pode potencialmente encontrar e acessar essas credenciais. Nesse ponto, dados sensíveis não estão mais nas mãos de um único ator de ameaça – eles estão expostos a qualquer um." Assim como no caso do incidente da **Checkmarx**, os dados roubados são exfiltrados para repositórios públicos criados sob contas de vítimas usando um esquema de nomenclatura com tema de Dune no mesmo formato "<palavra>-<palavra>-<3 dígitos>". "Mas em uma mudança interessante, o malware também é projetado para parar a execução em sistemas se sua localidade corresponder à Rússia." "As ferramentas compartilhadas sugerem fortemente uma conexão com o mesmo ecossistema de malware, mas as assinaturas operacionais diferem de maneiras que complicam a atribuição", disse a **Socket**. "Isso sugere um operador diferente usando infraestrutura compartilhada, um grupo dissidente com motivações ideológicas mais fortes, ou uma evolução na postura pública da campanha." A **Bitwarden** confirmou o incidente e disse que ele decorreu do comprometimento de seu mecanismo de distribuição npm após o ataque de cadeia de suprimentos da **Checkmarx**, mas enfatizou que nenhum dado de usuário final foi acessado como parte do ataque. A declaração completa compartilhada com The Hacker News é reproduzida verbatim abaixo - *A equipe de segurança da Bitwarden identificou e conteve um pacote malicioso que foi brevemente distribuído através do caminho de entrega npm para @bitwarden/[email protected] entre 17:57 e 19:30 (ET) em 22 de abril de 2026, em conexão com um incidente mais amplo de cadeia de suprimentos da Checkmarx.* *A investigação não encontrou evidências de que dados de cofre de usuários finais foram acessados ou estavam em risco, ou que dados de produção ou sistemas de produção foram comprometidos. Assim que o problema foi detectado, o acesso comprometido foi revogado, a versão npm maliciosa foi depreciada e medidas de remediação foram iniciadas imediatamente.* *O problema afetou o mecanismo de distribuição npm para a CLI durante essa janela limitada, não a integridade do código legítimo do Bitwarden CLI ou os dados de cofre armazenados.* *Usuários que não baixaram o pacote do npm durante essa janela não foram afetados. A Bitwarden concluiu uma revisão de ambientes internos, caminhos de lançamento e sistemas relacionados, e nenhum produto ou ambiente adicional impactado foi identificado até o momento. Um CVE para a versão 2026.4.0 do Bitwarden CLI está sendo emitido em conexão com este incidente.* De acordo com uma análise do ataque publicada pela **Endor Labs**, o repositório GitHub da **Bitwarden** usa "checkmarx/ast-github-action", que foi um dos artefatos comprometidos no incidente de cadeia de suprimentos da **Checkmarx**. O fornecedor de segurança de aplicações descreveu o CLI malicioso do **Bitwarden** como um dos "payloads de cadeia de suprimentos npm mais capazes" publicados até hoje. "Ele combina um coletor de credenciais multi-cloud visando seis superfícies de segredo distintas, um worm npm auto-propagante que reinfecta todos os pacotes que um token de vítima pode publicar, um canal C2 de 'dead-drop' de commit do GitHub com entrega de comando assinado por RSA, exfiltração com criptografia autenticada que sobrevive à apreensão de repositório, persistência de shell RC e um módulo inovador que especificamente visa