Farlig Bitwarden-pakke på npm stjal GitHub- og skytjeneste-legitimasjon

Nesten to timer med skjult angrep

Den 22. april ble en ondsinnet versjon av Bitwardens kommandolinjeverktøy (CLI) lastet opp til npm under det offisielle pakkenavnet @bitwarden/[email protected]. I 93 minutter ble alle som installerte verktøyet via npm, utsatt for en bakdørt versjon som aktivt stjal sensitive autentiseringsnøkler og skytjeneste-legitimasjon.

Hva ble stjålet – og hvorfor er det farlig?

Sikkerhetsfirmaet JFrog analyserte den ondsinnede koden og avdekket at angriperne ikke var interessert i Bitwardens brukerdata. I stedet målrettet de seg mot:

• GitHub-tokens – gir tilgang til repositorier, arbeidsflyter og automatisering
• npm-tokens – kan brukes til å publisere skadelige pakker eller endre utgivelsesprosesser
• SSH-nøkler – gir tilgang til servere og interne systemer
• Shell-historikk – kan avsløre tidligere kommandoer og interne systemnavn
• AWS-, GCP- og Azure-legitimasjon – gir kontroll over skytjenester og infrastruktur
• GitHub Actions-secrets – gir tilgang til automatiserte bygge- og distribusjonsprosesser
• AI-verktøykonfigurasjoner – kan inneholde API-nøkler og interne endepunkter

Disse nøklene og legitimasjonene styrer hvordan utviklingsteam bygger, distribuerer og vedlikeholder infrastruktur. Angriperne kunne dermed få full kontroll over organisasjoners utviklingsmiljøer, skytjenester og automatiseringsprosesser.

Hvordan fungerte angrepet?

Den ondsinnede pakken endret både preinstall-hook og bw-binærens inngangspunkt til en lastelaster som hentet inn Bun-runtime og startet en obfuskert payload. Angrepet aktiveres både ved installasjon og under kjøring av verktøyet.

En organisasjon kunne dermed kjøre den bakdørte versjonen av Bitwarden-CLI uten å mistenke noe, samtidig som malware systematisk samlet inn legitimasjoner for CI-pipelines, skytjenester og distribusjonsautomatisering.

Bitwarden bekrefter kobling til større angrepskampanje

Sikkerhetsfirmaet Socket mener angrepet utnyttet en kompromittert GitHub Action i Bitwardens egen CI/CD-pipeline. Dette stemmer overens med et mønster som forskere fra Checkmarx har sporet over tid.

Bitwarden har bekreftet at hendelsen er knyttet til den bredere Checkmarx supply chain-kampanjen. Selskapet fjernet den ondsinnede pakken umiddelbart og uttalte at det ikke er funnet bevis for at angripere fikk tilgang til sluttbrukeres passordhvelv eller produksjonssystemer.

npm’s tillitsmodell under press

Angrepet illustrerer sårbarheten i npm’s tillitsbaserte publiseringssystem. Selv om npm har innført OIDC-basert autentisering for CI/CD-pipelines for å redusere risikoen, viser dette at angripere fortsatt kan infiltrere offisielle pakker og nå kritiske systemer.

«Dette angrepet viser hvor sårbart utviklingsmiljøet er for supply chain-angrep. Selv offisielle pakker kan bli kompromittert, og konsekvensene kan bli katastrofale for organisasjoner som stoler på disse verktøyene.»

Hva kan bedrifter og utviklere gjøre?

For å redusere risikoen anbefales følgende tiltak:

• Verifiser pakker før installasjon – sjekk signaturer, checksummer og publiseringshistorikk
• Bruk minimalistiske installasjonsmetoder – unngå automatisk installasjon av CLI-verktøy med høy privilegert tilgang
• Overvåk CI/CD-pipelines – sett opp varslinger for uventede endringer i legitimasjoner
• Implementer prinsippet om minst privilegium – begrens tilgangen til kritiske ressurser
• Hold systemer oppdatert – sørg for at utviklingsmiljøer og verktøy er patchet mot kjente sårbarheter