Ein Lieferkettenangriff auf Checkmarx-Tools hat Entwicklerumgebungen offengelegt.
Angreifer verbreiteten manipulierte Docker-Images und manipulierte Erweiterungen, die Zugangsdaten und andere sensible Daten stehlen konnten.
Dies „… setzt einen gefährlichen Trend fort, der sich im vergangenen Monat beschleunigt hat: CI/CD-Pipelines sind zum neuen Perimeter geworden“, sagte Eli Woodward, Cyber Threat Intelligence Advisor bei Team Cymru, in einer E-Mail an eSecurityPlanet.
Er fügte hinzu: „Statt auffälliger Zero-Days oder ausgefeilter Phishing-Kampagnen missbraucht TeamPCP methodisch vertrauenswürdige Ressourcen in unseren Technologie-Ökosystemen.“
Im Zentrum des Checkmarx-Lieferkettenangriffs
Im Mittelpunkt der Kompromittierung steht Keeping Infrastructure as Code Secure (KICS), ein weit verbreitetes Tool, das Terraform-, Kubernetes- und andere Cloud-Konfigurationsdateien auf Sicherheitsrisiken scannt.
Forscher von Socket entdeckten, dass Angreifer offizielle Images im checkmarx/kics-Repository auf Docker Hub vergiftet und die enthaltene KICS-Binärdatei so verändert hatten, dass sie versteckte Funktionen zur Datensammlung enthielt.
Dadurch konnten Scanergebnisse – die häufig sensible Konfigurationsdetails, Zugangsdaten oder Geheimnisse enthalten – unbemerkt abgegriffen und an eine von den Angreifern kontrollierte Infrastruktur übertragen werden.
Das Risiko wird dadurch verstärkt, dass KICS häufig in CI/CD-Pipelines eingebettet ist. Organisationen könnten daher bei routinemäßigen automatisierten Scans unwissentlich sensible Infrastrukturdaten offengelegt haben.
Mehrere häufig verwendete Tags, darunter v2.1.20, alpine, debian und latest, wurden vorübergehend auf schädliche Images umgeleitet, bevor sie wiederhergestellt wurden.
Außerdem wurde ein manipuliertes Tag v2.1.21 eingeführt, obwohl es keinem legitimen Upstream-Release entsprach.
Schädliche VS-Code-Erweiterungen und Payload-Bereitstellung
Im Verlauf der Untersuchung wurde klar, dass der Vorfall über kompromittierte Container-Images hinausging.
Forscher identifizierten verdächtiges Verhalten in VS-Code-Erweiterungen mit Bezug zu Checkmarx. Das deutet auf einen umfassenderen, koordinierten Lieferkettenangriff über mehrere Vertriebskanäle hinweg hin.
Eine eingehendere Analyse ergab, dass bestimmte Erweiterungsversionen (insbesondere 1.17.0 und 1.19.0) versteckte Funktionen enthielten, die mithilfe der Bun-Laufzeitumgebung eine Payload der zweiten Phase namens mcpAddon.js herunterluden und ausführten.
Die Payload wurde von einer fest im Code hinterlegten GitHub-URL abgerufen, die mit einem rückdatierten, manipulierten Commit im Repository von Checkmarx verknüpft war. So konnten die Angreifer eine vertrauenswürdige Quelle nutzen, um einer Entdeckung zu entgehen.
Diebstahl von Zugangsdaten und Ausbreitung des Angriffs
Die Payload mcpAddon.js fungiert als umfassender Zugangsdaten-Dieb und zielt auf sensible Daten wie GitHub-Token, Cloud-Zugangsdaten, npm-Konfigurationen, SSH-Schlüssel und Umgebungsvariablen ab.
Nach der Erfassung werden die Daten komprimiert, verschlüsselt und an externe Infrastrukturen sowie von Angreifern kontrollierte öffentliche GitHub-Repositories exfiltriert – teilweise innerhalb von Opferkonten.
In einigen Fällen wurden Repository-Metadaten und Commit-Nachrichten außerdem als verdeckte Kanäle für die Zwischenlagerung genutzt.
Diese Kampagne stellt eine ausgeklügelte, mehrstufige Kompromittierung der Software-Lieferkette dar.
Sie kombiniert Techniken wie die Vergiftung von Docker-Images durch das Überschreiben von Tags, die Manipulation der Git-Historie mit rückdatierten Commits, RCE über Entwicklererweiterungen und den Missbrauch von CI/CD-Pipelines.
Mithilfe gestohlener GitHub-Zugangsdaten breitet sich die Malware aus, indem sie Repositories mit Geheimnissen identifiziert, neue Branches erstellt und schädliche Workflows einschleust, um diese Geheimnisse als Artefakte zu extrahieren.
Diese Workflows werden bei einem Commit automatisch ausgeführt und anschließend entfernt, um die forensische Sichtbarkeit zu verringern. So kann sich der Angriff über Repositories, Organisationen und Pipelines hinweg ausbreiten.
Zuordnung und weiterreichende Auswirkungen
Forscher haben eine funktionsfähige Angriffskette bestätigt, auch wenn Teile der Operation noch aktiv untersucht werden.
Eine als TeamPCP bekannte Bedrohungsakteurgruppe übernimmt die Verantwortung für den Vorfall.
Diese Kampagne scheint sich außerdem nicht auf Checkmarx-Tools zu beschränken.
Separate Erkenntnisse zeigen, dass auch die Bitwarden CLI über einen ähnlichen GitHub-Actions-Vektor kompromittiert wurde. Das deutet auf einen umfassenderen Lieferkettenangriff hin, der sich gegen Entwickler-Tools und CI/CD-Pipelines richtet.
Das Forschungsteam von Socket untersucht den Bitwarden-Vorfall ebenfalls weiter.
So lässt sich das Lieferkettenrisiko verringern
Organisationen sollten diesen Vorfall als Problem der Lieferkette und der Offenlegung von Zugangsdaten behandeln, nicht als isoliertes Tooling-Problem.
Auch wenn eine sofortige Eindämmung wichtig ist, hängt die langfristige Risikoreduzierung davon ab, die Kontrollen in CI/CD-Pipelines, Abhängigkeiten und der Identitätsverwaltung zu stärken.
- Alle betroffenen Checkmarx-Docker-Images entfernen, Erweiterungen und zugehörigen Artefakte und durch verifizierte, vertrauenswürdige Versionen ersetzen, die an unveränderliche Digests gebunden sind.
- Alle möglicherweise offengelegten Zugangsdaten rotieren, darunter GitHub-Token, Cloud-Zugangsdaten, npm-Token, SSH-Schlüssel und CI/CD-Geheimnisse, und nach Möglichkeit auf kurzlebige oder Just-in-Time-Zugangsdaten umsteigen.
- GitHub- und CI/CD-Umgebungen auf nicht autorisierte Repositories prüfen, eingeschleuste Workflows, verdächtige Ausführungen sowie unerwartete Artefakterstellung oder -downloads.
- CI/CD-Pipelines durch Einschränkung der Workflow-Erstellung härten, Begrenzung von Token-Berechtigungen, Durchsetzung des Prinzips der geringsten Privilegien und erforderliche Genehmigungen für neue oder geänderte Workflows.
- Überwachen Sie Endpunkte, Build-Systeme und Cloud-Umgebungen auf anomales Verhalten, einschließlich unerwarteter Laufzeitausführung (z. B. Bun), Zugriffen auf Zugangsdaten und ungewöhnlicher Token-Nutzung.
- Stärken Sie die Lieferketten-sicherheit durch das Fixieren von Abhängigkeiten, die Verifizierung von Artefakten, die Durchsetzung von Registry-Allowlists und die Implementierung einer SBOM-Nachverfolgung für mehr Transparenz.
- Testen Sie Pläne zur Reaktion auf Vorfälle anhand von Szenarien für Lieferkettenangriffe, um Erkennungs-, Eindämmungs- und Wiederherstellungsfunktionen zu validieren.
Diese Maßnahmen helfen Organisationen, ihre Widerstandsfähigkeit gegen Lieferkettenangriffe zu stärken und zugleich den möglichen Schadensradius im Fall einer Kompromittierung zu begrenzen.
Die Verlagerung hin zu Lieferkettenbedrohungen
Dieser Vorfall spiegelt eine umfassendere Verlagerung des Angreiferfokus auf die Software-Lieferkette wider, in der die Kompromittierung vertrauenswürdiger Tools über einen einzigen Einstiegspunkt Zugriff auf mehrere Umgebungen ermöglichen kann.
Er verdeutlicht außerdem den Fokus auf auf Zugangsdaten basierende Angriffe, bei denen gestohlene Token, Schlüssel und Geheimnisse Persistenz und laterale Bewegungen über Systeme, Pipelines und Cloud-Umgebungen hinweg ermöglichen.
Diese sich wandelnden Risiken sind der Grund dafür, dass Organisationen Zero-Trust-Lösungen einsetzen, um Vertrauen zu verwalten und den Schadensradius von Lieferkettenvorfällen zu begrenzen.