Bitwarden CLI kompromittert i pågående Checkmarx forsyningskjedeangrep. UNC6692 utnytter Microsoft Teams til Helpdesk Phishing og sprer SNOW skadevare.
Bitwarden CLI kompromittert i pågående Checkmarx forsyningskjedeangrep
Bitwarden CLI har blitt kompromittert som del av en pågåendeforsyningskjedeangrep kampanje knyttet til Checkmarx, hvor en ondsinnet versjon @bitwarden/cli@2026.4.0 ble publisert via npm. Angrepet utnyttet en kompromittert GitHub Actions komponent i CI/CD pipeline, og inkluderte skadelig kode i filen bw1.js. Skadevare kjørte via en preinstall hook og stjal sensitiv informasjon som GitHub og npm tokens, SSH nøkler, miljøvariabler og CI/CD hemmeligheter, før data ble eksfiltrert til domenet audit.checkmarx[.]cx eller til offentlige GitHub repositories. Angrepet kunne også bruke stjålne tokens til å injisere ondsinnede workflows i andre repositories og spre seg videre som en slags forsyningskjede orm. Hendelsen fant sted i et begrenset tidsrom 22. april 2026 (ca. 1,5 time), og Bitwarden bekrefter at ingen brukerdata eller vault data ble kompromittert. Kampanjen er knyttet til en bredere trusselaktør aktivitet (muligens TeamPCP) og representerer en avansert utvikling av tidligere forsyningskjedeangrep, inkludert målretting av AI utviklingsverktøy og CI/CD miljøer.
Fjern umiddelbart versjon @bitwarden/cli@2026.4.0 dersom den er installert. Roter alle potensielt eksponerte hemmeligheter, inkludert GitHub, npm og cloud tokens. Gjennomgå CI/CD pipelines for uautoriserte workflows og aktivitet. Implementer streng kontroll på avhengigheter og bruk verktøy for å validere integriteten til pakker. Overvåk GitHub repositories for uvanlige commits eller eksfiltrering av data.
UNC6692 utnytter Microsoft Teams til Helpdesk Phishing og sprer SNOW skadevare
En ny trusselaktør, UNC6692, bruker avansert sosial manipulering via Microsoft Teams for å kompromittere virksomheter. Angrepet starter med e-postbombing for å skape panikk, før angriperen kontakter offeret via Teams og utgir seg for å være IT support. Offeret blir deretter lurt til å installere en falsk “Mailbox Repair and Sync Utility”, som i realiteten laster ned et AutoHotkey script fra AWS. Scriptet installerer en ondsinnet nettleserutvidelse (SNOWBELT) i Microsoft Edge, som fungerer som bakdør og laster ned flere komponenter i SNOW skadevare familien, inkludert SNOWGLAZE (tunnelering) og SNOWBASIN (RCE og persistens). Angriperne kan deretter stjele brukerdetaljer, utføre lateral bevegelse via teknikker som "Pass-the-Hash", hente LSASS minne, og eksfiltrere data via legitime verktøy som Rclone og LimeWire. Kampanjen retter seg særlig mot ledere og nøkkelpersonell, og misbruker legitime skytjenester for å skjule aktivitet og omgå sikkerhetsfiltre.
Anbefalinger: Implementer strenge verifiseringsrutiner for IT support via Teams og begrens ekstern kommunikasjon i plattformen. Tren ansatte i å gjenkjenne sosial manipulering og phishing. Begrens bruk av fjernstyringsverktøy og overvåk installasjon av nettleserutvidelser. Hardening av PowerShell og overvåking av uvanlig aktivitet er kritisk. Overvåk også bruk av legitime verktøy som Rclone og uvanlig trafikk mot skytjenester.
