Nach der Analyse von Socket beschränkt sich der Vorfall nicht auf Docker Hub. Auch zugehörige Entwicklerwerkzeuge von Checkmarx sollen betroffen sein, konkret jüngere Veröffentlichungen einer Erweiterung für Microsoft Visual Studio Code. Diese enthielten Schadcode, der über die Bun-Laufzeitumgebung ein entferntes Zusatzmodul herunterlädt und ausführt.
Dieses Verhalten trat laut Socket in den Versionen 1.17.0 und 1.19.0 auf und wurde in Version 1.18.0 entfernt. Der Schadcode griff auf eine fest einprogrammierte GitHub-Adresse zurück, um zusätzlichen JavaScript-Code zu beziehen und auszuführen – ohne Bestätigung durch den Nutzer und ohne Integritätsprüfung.
Besonders kritisch ist die Funktionsweise der manipulierten KICS-Binärdatei: Sie erzeugt einen ungefilterten Scan-Bericht, verschlüsselt ihn und übermittelt ihn an einen externen Endpunkt. Da KICS gerade zur Prüfung von Infrastructure-as-Code-Dateien dient, können auf diesem Weg Zugangsdaten und sensible Konfigurationsdaten abfließen.
Organisationen, die das betroffene KICS-Image zum Scannen von Terraform-, CloudFormation- oder Kubernetes-Konfigurationen genutzt haben, sollten sämtliche dabei offengelegten Geheimnisse oder Zugangsdaten als wahrscheinlich kompromittiert behandeln. Socket geht davon aus, dass die Hinweise auf eine umfassendere Kompromittierung der Lieferkette über mehrere Vertriebskanäle von Checkmarx hindeuten und nicht auf einen Einzelfall.
Checkmarx wurde nach Angaben von The Hacker News um eine Stellungnahme gebeten. Der Vorfall wird weiter beobachtet.