Ataki na łańcuch dostaw: Jak złośliwe pakiety infekują środowiska deweloperskie
Ostatnie incydenty, w tym kompromitacja oficjalnego pakietu Checkmarx Jenkins, pokazują rosnące zagrożenie atakami na łańcuch dostaw oprogramowania. Deweloperzy i administratorzy systemów CI/CD powinni zachować szczególną ostrożność i weryfikować źródła używanych komponentów.
Rosnące zagrożenie dla łańcucha dostaw oprogramowania
W ostatnich miesiącach obserwujemy nasilenie ataków na łańcuch dostaw oprogramowania, które stanowią poważne zagrożenie dla firm i deweloperów. Przykładem jest kompromitacja oficjalnego pakietu Checkmarx Jenkins AST (Application Security Testing) opublikowanego w Jenkins Marketplace. Grupa hakerów TeamPCP, znana z wcześniejszych ataków na łańcuch dostaw, stała za tym incydentem, wprowadzając złośliwą wersję wtyczki zawierającą oprogramowanie kradnące dane uwierzytelniające.
Jenkins jest szeroko stosowanym rozwiązaniem do automatyzacji CI/CD (Continuous Integration/Continuous Deployment), co czyni go atrakcyjnym celem dla atakujących. Wtyczka Checkmarx AST integruje skanowanie bezpieczeństwa z automatycznymi potokami, a jej skompromitowanie oznacza, że użytkownicy, którzy pobrali złośliwą wersję, mogli nieświadomie zainfekować swoje środowiska deweloperskie.
Jak doszło do ataku na Checkmarx?
Według informacji udostępnionych przez Checkmarx, atakujący uzyskali dostęp do repozytoriów GitHub firmy, wykorzystując dane uwierzytelniające skradzione podczas wcześniejszego ataku na łańcuch dostaw związany ze skanerem Trivy w marcu 2026 roku. Rzecznik firmy potwierdził, że ten dostęp umożliwił opublikowanie zmodyfikowanego kodu do niektórych artefaktów. Hakerzy pozostawili nawet wiadomość w sekcji „o nas”, sugerując, że Checkmarx ponownie nie zmienił swoich sekretów: „Checkmarx fails to rotate secrets again. With love – TeamPCP.”
Złośliwa wersja wtyczki (2026.5.09) została przesłana do repo.jenkins-ci.org w dniu 9 maja 2026 roku. Wyróżniała się tym, że nie przestrzegała oficjalnego schematu datowania wydań i brakowało jej tagu git oraz wydania GitHub, co powinno wzbudzić podejrzenia. Checkmarx zalecił użytkownikom, aby upewnili się, że korzystają z wersji 2.0.13-829.vc72453fa_1c16 wtyczki opublikowanej 17 grudnia 2025 roku lub starszej.
Konsekwencje i zalecane działania
Chociaż Checkmarx nie ujawnił szczegółów dotyczących działania złośliwej wtyczki Jenkinsa, osoby, które pobrały zainfekowaną wersję, powinny założyć, że ich dane uwierzytelniające zostały skompromitowane. W takich przypadkach kluczowe jest natychmiastowe rotowanie wszystkich sekretów (haseł, kluczy API, tokenów) oraz przeprowadzenie szczegółowego dochodzenia w celu wykrycia ewentualnego ruchu bocznego lub mechanizmów utrzymywania dostępu w środowisku. Firma podkreśla, że jej repozytoria GitHub są izolowane od środowiska produkcyjnego klientów, a dane klientów nie są tam przechowywane.
Ataki na łańcuch dostaw, takie jak ten, pokazują, jak ważne jest stosowanie zasady najmniejszych uprawnień, regularne audyty bezpieczeństwa i weryfikacja integralności pobieranych komponentów. Warto również monitorować oficjalne kanały komunikacji producentów oprogramowania w poszukiwaniu alertów bezpieczeństwa i wskaźników kompromitacji (IoC), które Checkmarx udostępnił dla obrońców.
Szerszy kontekst: Inne zagrożenia dla deweloperów
Problem złośliwych pakietów nie ogranicza się tylko do Jenkinsa. Badacze z SentinelLabs opisali nowy framework malware o nazwie PCPJack, który kradnie dane uwierzytelniające z wystawionych infrastruktur chmurowych, takich jak Docker, Kubernetes, Redis czy MongoDB. PCPJack aktywnie usuwa ślady infekcji TeamPCP, co sugeruje, że może być dziełem byłego członka lub partnera tej grupy, który założył własną operację. Malware wykorzystuje luki w zabezpieczeniach, takie jak CVE-2025-29927 w Next.js czy CVE-2025-55182 w React, do uzyskania dostępu i rozprzestrzeniania się.
W obliczu tych zagrożeń, firmy i deweloperzy powinni skupić się na wzmocnieniu swoich praktyk bezpieczeństwa. Obejmuje to wdrożenie uwierzytelniania wieloskładnikowego (MFA), stosowanie zasad najmniejszych uprawnień, unikanie przechowywania sekretów w postaci zwykłego tekstu oraz regularne aktualizowanie wszystkich komponentów oprogramowania. Świadomość zagrożeń i proaktywne działania są kluczowe dla ochrony przed coraz bardziej wyrafinowanymi atakami na łańcuch dostaw.
