Socket ha confirmado que la versión 2026.4.0 de Bitwarden CLI fue comprometida como parte de la campaña en curso de Checkmarx en la cadena de suministro, exponiendo a millones de usuarios y miles de empresas al robo de credenciales y la infiltración en pipelines de CI/CD. El ataque tuvo como objetivo @bitwarden/cli 2026.4.0 en npm, inyectando un archivo malicioso llamado bw1.js en el contenido del paquete. Bitwarden CLI.

Socket ha confirmado que la versión 2026.4.0 de Bitwarden CLI fue comprometida como parte de la campaña en curso de Checkmarx en la cadena de suministro, exponiendo a millones de usuarios y miles de empresas al robo de credenciales y la infiltración en pipelines de CI/CD.

El ataque se dirigió a @bitwarden/cli 2026.4.0 en npm, inyectando un archivo malicioso llamado bw1.js en el contenido del paquete. Bitwarden CLI es utilizado por más de 10 millones de usuarios y 50.000+ empresas, lo que lo convierte en uno de los objetivos de mayor impacto en la campaña hasta la fecha.

Es importante destacar que solo el paquete CLI de npm fue afectado. La extensión de Chrome de Bitwarden, el servidor MCP y otros canales oficiales de distribución permanecen sin comprometer.

Los atacantes explotaron una GitHub Action comprometida dentro del pipeline de CI/CD de Bitwarden, el mismo vector de cadena de suministro identificado en la campaña más amplia de Checkmarx documentada por los investigadores de Socket.

La carga maliciosa bw1.js comparte infraestructura central con el payload mcpAddon.js analizado previamente, incluyendo un idéntico endpoint de C2 (audit.checkmarx[.]cx/v1/telemetry) ofuscado mediante __decodeScrambled con semilla 0x3039.

El payload empleó una arquitectura multietapa sofisticada:

• Recolección de credenciales dirigida a tokens de GitHub mediante el escaneo de memoria de Runner.Worker, credenciales de AWS desde ~/.aws/, tokens de Azure vía azd, credenciales de GCP vía gcloud, tokens de npm desde .npmrc, claves SSH y archivos de configuración de Claude/MCP
• Exfiltración en GitHub creando repositorios públicos bajo cuentas de víctimas usando convenciones de nombres temáticos de Dune ({palabra}-{palabra}-{3dígitos}), con resultados cifrados confirmados y tokens incrustados en mensajes de commit
• Propagación en la cadena de suministro mediante el robo de tokens de npm para identificar paquetes editables y republicarlos con hooks de preinstalación inyectados, junto con la inyección de flujos de trabajo en GitHub Actions para capturar secretos de repositorios
• Persistencia en shell inyectando payloads en ~/.bashrc y ~/.zshrc
• Interruptor de emergencia por localización rusa que sale silenciosamente si la configuración regional del sistema comienza con "ru"

El payload se ejecuta en Bun v1.3.13, descargado directamente desde las releases de GitHub.

Aunque las herramientas compartidas vinculan este ataque al ecosistema de malware de Checkmarx, varios indicadores sugieren un operador diferente —o evolucionado—. La carga maliciosa lleva una marca ideológica explícita: las descripciones de repositorios hacen referencia a "Shai-Hulud: The Third Coming", las cadenas de depuración invocan "Butlerian Jihad" y los mensajes de commit proclaman resistencia contra las máquinas.

Esto contrasta fuertemente con la campaña anterior de Checkmarx, que usaba descripciones engañosas pero de apariencia neutral. Los investigadores de Socket señalan que esto podría indicar un grupo disidente, un operador diferente compartiendo infraestructura o un cambio deliberado en la postura de la campaña.

Las organizaciones que instalaron el paquete comprometido deben tratar esto como un evento de exposición total de credenciales. Los pasos inmediatos incluyen:

• Eliminar el paquete afectado de todos los sistemas de desarrollo y entornos de compilación
• Rotar todas las credenciales potencialmente expuestas: tokens de GitHub, tokens de npm, credenciales en la nube, claves SSH y secretos de CI/CD
• Auditar GitHub en busca de creación no autorizada de repositorios, archivos de flujo de trabajo inesperados bajo .github/workflows/ y repositorios de staging con temática de Dune
• Buscar el archivo de bloqueo de persistencia en /tmp/tmp.987654321.lock y modificaciones no autorizadas en perfiles de shell
• Monitorear conexiones salientes a audit.checkmarx[.]cx y ejecución inusual del runtime de Bun

El endurecimiento a largo plazo debe incluir el bloqueo de alcances de tokens, la imposición de credenciales de corta duración, la restricción de permisos de publicación de paquetes y el endurecimiento de GitHub Actions con configuraciones de mínimo privilegio.

Resumen de IOC

Indicador	Detalles
Paquete Malicioso	@bitwarden/cli 2026.4.0
Archivo Malicioso	bw1.js
Endpoint de C2	audit.checkmarx[.]cx/v1/telemetry
Archivo de Bloqueo	/tmp/tmp.987654321.lock
Patrón de Repositorio de Staging	{palabra}-{palabra}-{3dígitos}

El equipo de investigación de seguridad de Socket continúa investigando el alcance completo de la campaña. Se insta a las organizaciones a tratar cualquier exposición a esta versión del paquete como un incidente confirmado hasta que se complete un análisis más detallado.

Fuentes:
https://cybersecuritynews.com/bitwarden-cli-compromised/