A ferramenta de linha de comando Bitwarden CLI versão 2026.4.0 foi comprometida em um ataque sofisticado à cadeia de suprimentos, explorando uma ação do GitHub comprometida dentro do pipeline de CI/CD da organização. A descoberta, confirmada pela equipe de pesquisa de segurança da Socket, expõe milhões de usuários e milhares de empresas a riscos de roubo de credenciais e infiltração em pipelines de desenvolvimento.
Descoberta e escopo do incidente
O ataque direcionou especificamente o pacote @bitwarden/cli 2026.4.0 hospedado no repositório npm. Um arquivo malicioso denominado bw1.js foi injetado no conteúdo do pacote, permitindo que o código malicioso fosse executado sempre que um desenvolvedor instalasse ou atualizasse a ferramenta em seus ambientes de trabalho. A Bitwarden CLI é amplamente utilizada, com mais de 10 milhões de usuários e mais de 50.000 empresas, o que a torna um dos alvos de maior impacto na campanha de cadeia de suprimentos documentada até o momento.
É importante destacar que apenas o pacote CLI do npm foi afetado. As extensões do Chrome, o servidor MCP e outros canais de distribuição oficial da Bitwarden permanecem comprometidos, o que limita o escopo inicial do incidente, mas não reduz a severidade para os desenvolvedores que dependem da versão CLI.
Análise técnica detalhada do payload
O payload malicioso bw1.js compartilha infraestrutura central com o malware previamente analisado mcpAddon.js, incluindo um endpoint de comando e controle (C2) idêntico: audit.checkmarx[.]cx/v1/telemetry. A ofuscação do código é realizada através da função __decodeScrambled com a semente 0x3039, uma técnica comum para evitar detecção por ferramentas de análise estática.
A arquitetura do payload é multiestágio e altamente sofisticada:
- Coleta de credenciais: O malware raspa a memória do
Runner.Workerpara capturar tokens do GitHub, extrai credenciais AWS de~/.aws/, tokens do Azure viaazd, credenciais do GCP viagcloud, tokens do npm de.npmrc, chaves SSH e arquivos de configuração do Claude/MCP. - Exfiltração do GitHub: O malware cria repositórios públicos sob as contas das vítimas usando convenções de nomenclatura temáticas de Dune (padrão
{word}-{word}-{3digits}), com resultados criptografados e tokens embutidos nas mensagens de commit. - Propagação da cadeia de suprimentos: Através do roubo de tokens do npm, o malware identifica pacotes com permissões de escrita e os republica com hooks de pré-instalação injetados, além de injetar fluxos de trabalho do GitHub Actions para capturar segredos do repositório.
- Persistência no shell: O payload injeta códigos em
~/.bashrce~/.zshrcpara garantir persistência em sessões futuras. - Interruptor de morte por localidade: O malware possui um interruptor de morte que sai silenciosamente se a localidade do sistema começar com "ru" (russo), indicando uma tentativa de evitar análise em ambientes de pesquisa russos.
O payload é executado no runtime Bun v1.3.13, baixado diretamente dos releases do GitHub, o que demonstra a capacidade do atacante de utilizar ferramentas legítimas para mascarar atividades maliciosas.
Indicadores de comprometimento e IOCs
Para auxiliar na detecção e resposta, os seguintes indicadores de comprometimento (IOCs) foram identificados:
- Pacote malicioso:
@bitwarden/cli 2026.4.0 - Arquivo malicioso:
bw1.js - Endpoint C2:
audit.checkmarx[.]cx/v1/telemetry - Arquivo de bloqueio:
/tmp/tmp.987654321.lock - Padrão de repositório de staging:
{word}-{word}-{3digits}
Organizações devem monitorar conexões de saída para o domínio audit.checkmarx[.]cx e executarções incomuns do runtime Bun.
Operador e motivação
Embora a ferramenta compartilhada ligue este ataque ao ecossistema de malware Checkmarx, vários indicadores sugerem um operador diferente ou evoluído. O payload malicioso carrega uma marcação ideológica explícita: descrições de repositórios referenciam "Shai-Hulud: The Third Coming", strings de depuração invocam "Butlerian Jihad" e mensagens de commit proclamam resistência contra máquinas.
Isso contrasta fortemente com a campanha anterior da Checkmarx, que usava descrições enganosas mas neutras. Pesquisadores da Socket notam que isso poderia indicar um grupo dissidente, um operador diferente compartilhando infraestrutura ou uma mudança deliberada na postura da campanha.
Impacto e alcance
O impacto deste incidente é significativo devido à ubiquidade da Bitwarden CLI em ambientes de desenvolvimento. A exposição de credenciais de desenvolvedores pode levar a comprometimentos de repositórios de código, vazamento de segredos de produção e acesso não autorizado a infraestruturas de nuvem. A propagação da cadeia de suprimentos através do npm significa que pacotes dependentes podem ser infectados, ampliando o alcance do ataque para além dos usuários diretos da Bitwarden.
Medidas de mitigação recomendadas
Organizações que instalaram o pacote comprometido devem tratar isso como um evento de exposição de credenciais completo. As etapas imediatas incluem:
- Remover o pacote afetado de todos os sistemas de desenvolvedores e ambientes de build.
- Rodar todas as credenciais potencialmente expostas — tokens do GitHub, tokens do npm, credenciais de nuvem, chaves SSH e segredos de CI/CD.
- Auditar o GitHub para criação não autorizada de repositórios, arquivos de fluxo de trabalho inesperados sob
.github/workflows/e repositórios de staging com tema Dune. - Caçar o arquivo de bloqueio de persistência em
/tmp/tmp.987654321.locke modificações não autorizadas em perfis de shell. - Monitorar conexões de saída para
audit.checkmarx[.]cxe execução incomum do runtime Bun.
Para endurecimento a longo prazo, recomenda-se bloquear escopos de token, forçar credenciais de curta duração, restringir permissões de publicação de pacotes e endurecer o GitHub Actions com configurações de privilégio mínimo.
Implicações para CISOs e governança
Este incidente reforça a necessidade de uma postura de segurança de cadeia de suprimentos robusta. CISOs devem revisar as políticas de dependência de pacotes, implementar assinaturas de pacotes e considerar o uso de ferramentas de análise de software (SCA) para detectar pacotes comprometidos antes da instalação. A adoção de práticas de DevSecOps deve incluir a verificação de integridade de pacotes e a limitação de privilégios em ambientes de CI/CD.
Perguntas frequentes
Os outros produtos da Bitwarden estão comprometidos?
Atualmente, apenas o pacote CLI do npm foi afetado. As extensões do Chrome, o servidor MCP e outros canais de distribuição oficial permanecem seguros.
Como saber se meu sistema foi afetado?
Verifique a versão instalada do Bitwarden CLI. Se for a versão 2026.4.0, remova imediatamente e siga as medidas de mitigação.
Devo reportar isso às autoridades?
Sim, organizações que sofreram comprometimento devem considerar reportar o incidente às autoridades locais e ao CERT nacional, especialmente se houver exposição de dados sensíveis.