Le gestionnaire de mots de passe Bitwarden CLI est un cheval de Troie lors d’une attaque contre la chaîne d’approvisionnement

Les chercheurs mettent en garde contre une nouvelle attaque de la chaîne d’approvisionnement logicielle qui a abouti à une version malveillante de Bitwarden CLI, la version terminale du gestionnaire de mots de passe open source extrêmement populaire. L’attaque serait liée à une série de récentes compromissions de la chaîne d’approvisionnement attribuées à un groupe appelé TeamPCP.

« L’attaque semble avoir exploité une action GitHub compromise dans le pipeline CI/CD de Bitwarden, ce qui est cohérent avec le modèle observé dans d’autres référentiels concernés lors de cette campagne », ont déclaré des chercheurs de la société de sécurité Socket.dev dans un rapport.

Les attaquants ont réussi à publier une version 2026.4.0 malveillante de Bitwarden CLI sur le registre npm. La version n’avait pas de version officielle correspondante sur le référentiel GitHub du projet et a été détectée et supprimée en environ 1,5 heure, entre 17 h 57 et 19 h 30 HE, le 22 avril.

« L’enquête n’a trouvé aucune preuve que les données du coffre-fort des utilisateurs finaux ont été consultées ou en danger, ou que les données de production ou les systèmes de production ont été compromis », a déclaré Bitwarden dans un communiqué sur ses forums communautaires. « Une fois le problème détecté, l’accès compromis a été révoqué, la version malveillante de npm est devenue obsolète et des mesures correctives ont été immédiatement lancées. »

L’attaque semble être liée à la récente compromission de la chaîne d’approvisionnement qui a impacté les images Docker et les extensions VS Code du scanner de vulnérabilités infrastructure-as-code KICS de la société de sécurité Checkmarx. Le groupe présumé impliqué, TeamPCP, est responsable d’une vague d’attaques sur la chaîne d’approvisionnement qui ont affecté des projets open source ces derniers mois, notamment le scanner de sécurité Trivy.

Heureusement, la nouvelle attaque n’a impacté que la version CLI de Bitwarden et non l’extension de navigateur Web et d’autres applications clientes, beaucoup plus largement utilisées. On estime que Bitwarden compte plus de 10 millions d’utilisateurs, dont 50 000 clients professionnels.

Les attaquants ciblent les identifiants cloud et de développement

Le cheval de Troie Bitwarden CLI version 2026.4.0 contenait un chargeur personnalisé appelé bw_setup.js qui vérifie si le gestionnaire de packages bun est installé et l’utilise ensuite pour exécuter bw1.js. Si bun n’existe pas, il est téléchargé et installé depuis GitHub.

Selon une analyse réalisée par la société de sécurité JFrog, la charge utile malveillante est conçue pour détecter et collecter une gamme d’informations d’identification et de jetons d’accès à partir du système de fichiers, des variables d’environnement du shell et des configurations d’actions GitHub. Les informations d’identification ciblées incluent les jetons GitHub et npm, les informations d’identification AWS et GCP, les clés API des configurations d’agent MCP et AI, les informations d’identification Git, les clés SSH, etc.

Si des jetons GitHub sont trouvés, le code malveillant les transforme automatiquement en arme en contactant https://api.github.com/user et essayer plusieurs voies de remontée d’informations, notamment l’exécution d’actions GitHub et la liste des secrets de leurs flux de travail.

« Il ne s’agit pas d’un vol passif d’informations d’identification », ont déclaré les chercheurs de JFrog. « Il s’agit d’un mécanisme d’accès secondaire conçu pour extraire davantage de matériel secret des environnements d’automatisation hébergés par GitHub. »

Assainissement

Les utilisateurs qui ont déterminé que leur installation Bitwarden CLI a été mise à jour vers la version malveillante 2026.4.0 doivent supposer que les informations d’identification du développeur et du cloud présentes sur leur machine ont été compromises et doivent être remplacées immédiatement. L’objectif de ce groupe d’attaquants est de recueillir des informations d’identification qui permettraient d’attaquer davantage la chaîne d’approvisionnement logicielle.

Après avoir désinstallé la version malveillante, vidé le cache npm, supprimé bw1.js et bw_setup.js du système, les chercheurs de JFrog recommandent :

• Révocation de tous les PAT GitHub présents sur les systèmes concernés
• Rotation des jetons npm et invalidation des jetons de publication CI
• Rotation des clés d’accès AWS et révision de l’accès à SSM et Secrets Manager
• Examen des journaux d’audit Azure Key Vault et rotation des secrets concernés
• Examen des journaux d’accès à GCP Secret Manager et rotation des secrets concernés
• Inspection des workflows GitHub Actions et des artefacts du référentiel pour détecter les exécutions ou branches non autorisées
• Examen de l’historique du shell et des fichiers de configuration des outils d’IA pour détecter les fuites de données sensibles
• Blocage audit(.)checkmarx(.)cx et 94(.)154(.)172(.)43 aux points de sortie du réseau
• Appliquer les contrôles de script npm lorsque cela est possible, y compris les scripts ignorés pour les installations non fiables