Złośliwa aktualizacja Bitwarden CLI – jak się chronić przed atakami na łańcuch dostaw

Co się stało?

22 kwietnia 2026 roku w oficjalnym repozytorium npm pojawiła się złośliwa aktualizacja menedżera haseł Bitwarden CLI w wersji 2026.4.0. Jak informuje artykuł Sekuraka, badacze z Socket wykryli, że pakiet zawierał złośliwy kod wykradający poświadczenia użytkowników. Złośliwa wersja była dostępna przez około 1,5 godziny, po czym ją usunięto. Incydent łączony jest z szerszą kampanią ataków na łańcuch dostaw, wcześniej wymierzoną w infrastrukturę Checkmarx.

Jak działało złośliwe oprogramowanie?

Atakujący najprawdopodobniej wykorzystali wykradzione tokeny, aby opublikować złośliwą wersję pakietu. Malware uruchamiał się przez hook preinstall i wykonywał skrypt bw_setup.js. Jak ustalili badacze z JFrog Security, loader ten uruchamiał zaciemniony payload JavaScript, który zbierał:

• tokeny GitHub i npm,
• klucze SSH,
• sekrety AWS, GCP, Azure i GitHub Actions,
• pliki konfiguracyjne narzędzi AI,
• historię shella.

Zebrane dane były serializowane do JSON, kompresowane (gzip) i szyfrowane symetrycznie, a następnie klucz symetryczny szyfrowano asymetrycznie. Do eksfiltracji wykorzystywano dwa kanały: główny – wysyłka do serwera C2 pod adresem audit.checkmarx.cx/v1/telemetry, a w razie niepowodzenia – tworzenie nowego repozytorium na koncie GitHub ofiary i przesyłanie zaszyfrowanych danych jako pliku JSON.

Czy moje hasła z Bitwarden są zagrożone?

Bitwarden opublikował oficjalny komunikat, w którym nie potwierdza przejęcia sejfów (czyli samych haseł użytkowników). Atak dotyczył wyłącznie wersji CLI i nie wpłynął na inne aplikacje Bitwarden (przeglądarkowe, mobilne, desktopowe). Oznacza to, że jeśli korzystałeś wyłącznie z graficznego interfejsu lub wtyczek, nie jesteś bezpośrednio zagrożony. Jednak osoby, które uruchomiły złośliwą wersję CLI, mogły stracić dostęp do tokenów, kluczy SSH i sekretów chmurowych – a to może prowadzić do dalszych kompromitacji.

Co zrobić, jeśli zainstalowałeś wersję 2026.4.0?

Jeśli używałeś Bitwarden CLI w wersji 2026.4.0, natychmiast usuń ją ze swojego urządzenia. Następnie zresetuj wszystkie poświadczenia, które mogły być przechowywane na tym komputerze:

• tokeny GitHub i npm,
• klucze SSH,
• sekrety AWS, GCP, Azure,
• hasła do usług CI/CD,
• klucze API.

Zmień także hasła do kont, które logowały się na tym urządzeniu. Bitwarden zaleca również sprawdzenie, czy na koncie GitHub nie pojawiły się nieznane repozytoria – to jeden z kanałów eksfiltracji. Szczegółowe instrukcje remediacji przygotowali badacze z JFrog Security.

Szerszy kontekst – ataki na łańcuch dostaw

Incydent z Bitwarden CLI wpisuje się w rosnącą falę ataków na łańcuch dostaw oprogramowania. Atakujący celują w popularne pakiety i narzędzia, aby dotrzeć do jak największej liczby ofiar. Wcześniej podobna kampania dotknęła Checkmarx – dostawcę narzędzi AppSec. W obu przypadkach wykorzystano wykradzione tokeny do publikacji złośliwych wersji w oficjalnych repozytoriach. To dowód, że nawet zaufane źródła dystrybucji mogą zostać skompromitowane.

Jak się chronić na przyszłość?

Mimo tego incydentu menedżery haseł wciąż są jednym z najskuteczniejszych narzędzi ochrony przed kradzieżą tożsamości. Kluczowe jest jednak stosowanie kilku zasad:

• Zawsze weryfikuj sumy kontrolne (SHA) pobieranych pakietów, jeśli producent je udostępnia.
• Korzystaj z oficjalnych kanałów dystrybucji i unikaj instalowania oprogramowania z niepewnych źródeł.
• Regularnie przeglądaj i rotuj tokeny oraz klucze SSH.
• W środowiskach firmowych rozważ użycie skanerów podatności w łańcuchu dostaw (np. Socket, Snyk).

Atak na Bitwarden CLI to ważne przypomnienie, że nawet sprawdzone narzędzia mogą zostać przejęte. Szybka reakcja – usunięcie zagrożenia i reset poświadczeń – minimalizuje ryzyko dalszych szkód. Obserwuj komunikaty producentów i bądź czujny, ale nie rezygnuj z dobrych praktyk, takich jak używanie unikalnych, silnych haseł.