Checkmarx advirtió durante el fin de semana que se había publicado una versión maliciosa de su plugin Jenkins Application Security Testing (AST) en el Jenkins Marketplace.

El compromiso fue reivindicado por el grupo de hackers TeamPCP, que inició una serie de ataques a la cadena de suministro que incluyeron las campañas Shai-Hulud en npm y la brecha del escáner de vulnerabilidades Trivy, resultando en la entrega de malware para el robo de credenciales.

Jenkins es una de las soluciones de automatización de Integración Continua/Despliegue Continuo (CI/CD) más utilizadas para la construcción de software, pruebas, escaneo de código, empaquetado de aplicaciones y despliegue de actualizaciones en servidores.

El plugin Checkmarx AST (https://plugins.jenkins.io/checkmarx-ast-scanner/) en el Jenkins Marketplace integra el escaneo de seguridad en los pipelines automatizados.

“Somos conscientes de que se publicó una versión modificada del plugin Checkmarx Jenkins AST en el Jenkins Marketplace. Estamos en proceso de publicar una nueva versión de este plugin”, alertó Checkmarx en la actualización.

Este es el tercer incidente en una serie de ataques a la cadena de suministro que la firma de pruebas de seguridad de aplicaciones ha sufrido desde finales de marzo.

Según el ingeniero de seguridad ofensiva Adnan Khan (https://x.com/adnanthekhan), TeamPCP obtuvo acceso a los repositorios de GitHub de Checkmarx e instaló un backdoor en el plugin Jenkins AST para entregar malware de robo de credenciales.

Un portavoz de la empresa confirmó que el actor de la amenaza obtuvo credenciales de los repositorios a partir del ataque a la cadena de suministro de Trivy en marzo.

Un mensaje que los hackers dejaron en la sección "acerca de" dice: "Checkmarx vuelve a fallar en la rotación de secretos. Con amor - TeamPCP".

TeamPCP tuvo acceso a los repositorios de GitHub de Checkmarx fuente: Adnan Khan (https://x.com/adnanthekhan/status/2053156381616676928)

"Como resultado de ese acceso, los atacantes pudieron interactuar con el entorno de GitHub de Checkmarx y, posteriormente, publicar código malicioso en ciertos artefactos", afirmó el portavoz de la empresa.

Utilizando credenciales robadas en el ataque de Trivy, los hackers publicaron versiones modificadas de múltiples herramientas de desarrollador en GitHub, Docker y VSCode que incluían código de robo de información.

El actor de la amenaza mantuvo el acceso durante al menos un mes y luego publicó una versión maliciosa de la herramienta de análisis KICS de la empresa en Docker, Open VSX y VSCode, que recolectaba datos de los entornos de desarrollo.

A finales de abril, la empresa confirmó que el grupo de amenazas LAPSUS$ filtró datos robados de su repositorio privado de GitHub.

El sábado 9 de mayo, se cargó una versión maliciosa (2026.5.09) del plugin Checkmarx Jenkins AST en repo.jenkins-ci.org. La actualización estaba fuera del pipeline de lanzamiento del plugin e incluía código malicioso.

Además de no seguir el esquema oficial de estilo de fecha, el plugin malicioso carecía de una etiqueta de git y de un lanzamiento en GitHub.

Checkmarx aconsejó a los usuarios asegurarse de que están utilizando la versión 2.0.13-829.vc72453fa_1c16 del plugin publicada el 17 de diciembre de 2025, o una anterior.

Aunque Checkmarx no ha compartido detalles sobre lo que hace el plugin malicioso de Jenkins en los sistemas, quienes hayan descargado la versión maliciosa deben asumir que sus credenciales están comprometidas, rotar todos los secretos e investigar movimientos laterales o persistencia.

Checkmarx afirma que sus repositorios de GitHub están aislados del entorno de producción de sus clientes y que no se almacenan datos de clientes en el repositorio de GitHub.

"Nos hemos comunicado con nuestros clientes durante todo este proceso y continuaremos brindando actualizaciones relevantes a medida que haya más información disponible", dijo la empresa de ciberseguridad, agregando que los clientes pueden encontrar recomendaciones en el Portal de Soporte o en las secciones de Actualizaciones de Seguridad.

Checkmarx ha publicado un conjunto de artefactos maliciosos que los defensores pueden utilizar como indicadores de compromiso (IoCs) en sus entornos.

Fuente:
BleepingComputer