Малварь в npm Bitwarden крадет SSH-ключи и облачные секреты

Пакет Bitwarden CLI npm версии 2026.4.0 был идентифицирован как вредоносный: в нем обнаружен самораспространяющийся worm, обозначенный как Shai-Hulud: The Third Coming. По данным отчета, этот экземпляр malicious software ориентирован на кражу credentials, включая SSH keys, cloud secrets и configuration files, а также способен распространяться по supply chain.

Как сработала атака

Компрометация, как отмечается в материале, стала результатом атаки на publishing pipeline Bitwarden. Вероятно, ей способствовал предварительный access, полученный во время недавнего взлома Checkmarx. Для запуска payload использовался вредоносный preinstall hook, который выполнялся автоматически во время установки через npm — без какого-либо участия пользователя.

После запуска malware загружал legitimate Bun JavaScript runtime, подобранную под operating system и architecture жертвы, чтобы выполнить obfuscated payload. После deobfuscation вредоносный код превращался в полноценный credential stealer и одновременно сохранял свойства supply chain worm.

Что именно делает вредоносный код

Согласно отчету, Shai-Hulud: The Third Coming сканирует:

• файлы с учетными данными;
• локальные cloud secrets;
• конфигурационные файлы;
• credentials, используемые для доступа к secret management services в AWS, Azure и GCP.

Тем самым malware представляет серьезную угрозу для environments, подключенных к cloud infrastructure, особенно в developer-среде, где подобные данные нередко хранятся в рабочих каталогах и конфигурациях.

Command and control и запасной механизм

Вредоносный код взаимодействует с двумя command and control (C2) URL-адресами. Основным C2 указан нелегитимный домен Checkmarx, связанный с TLD острова Рождества; его, как подчеркивается в отчете, следует немедленно заблокировать.

Если основной C2 недоступен, malware использует резервный механизм. Он основан на GitHub commit search и может помочь в определении подписанного replacement hostname. Это делает инфраструктуру атаки более устойчивой и усложняет ее нейтрализацию.

Как происходит утечка данных

Сведения, похищенные с зараженной системы, отправляются в GitHub repository, созданный под account жертвы. Такой подход облегчает самораспространение Shai-Hulud: malicious actor может публиковать stolen GitHub tokens публично, если у них нет organizational membership.

Если же речь идет о tokens с организационным доступом, они сохраняются в private encrypted data, что, по сути, позволяет атакующим гибко использовать украденные credentials в зависимости от уровня доступа.

Почему этот инцидент особенно опасен

Инцидент демонстрирует значительный риск для cloud-connected developer environments. В современных software supply chains достаточно одного скомпрометированного пакета, чтобы заражение распространилось дальше — через CI/CD, build systems и учетные данные, сохраненные на рабочих станциях разработчиков.

Отчет подчеркивает необходимость повышенной vigilance при мониторинге и защите software supply chains от сложных методов credential theft. В условиях, когда вредоносный код маскируется под legitimate package и запускается автоматически, ключевую роль играют:

• контроль npm dependencies;
• проверка publisher trust;
• мониторинг suspicious preinstall hooks;
• своевременная блокировка C2-инфраструктуры;
• защита cloud credentials и secret stores.

Shai-Hulud: The Third Coming демонстрирует, насколько опасным может быть сочетание supply chain compromise, automated execution и credential harvesting. Для организаций это прямой сигнал к пересмотру практик безопасности в среде разработки и в инфраструктуре, связанной с облаком.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.