Der Schadcode wird über einen preinstall-Hook ausgeführt und greift dabei lokale Geheimnisse sowie solche aus CI-, GitHub- und Cloud-Umgebungen ab. Die abgegriffenen Daten gelangen an die Domain „audit.checkmarx[.]cx" und – falls der primäre Weg scheitert – als Rückfalloption in ein GitHub-Repository.
Nach Einschätzung von StepSecurity kann bereits ein einzelner Entwickler mit installiertem @bitwarden/cli@2026.4.0 zum Einfallstor für eine breitere Lieferkettenkompromittierung werden: Der Angreifer erlange dauerhaften Zugriff zur Workflow-Injektion in jede CI/CD-Pipeline, die das Token des Entwicklers erreichen kann. Die schädliche Version steht nicht mehr zum Download über npm bereit. Socket zufolge folgt die Kompromittierung demselben über GitHub Actions verlaufenden Lieferkettenvektor, der in der Checkmarx-Kampagne identifiziert wurde.
Die Angreifer missbrauchen dabei gestohlene GitHub-Tokens, um einen neuen GitHub-Actions-Workflow einzuschleusen, der die im Workflow-Lauf verfügbaren Geheimnisse abgreift. Mit erbeuteten npm-Zugangsdaten veröffentlichen sie anschließend manipulierte Paketversionen für nachgelagerte Nutzer. Laut dem Sicherheitsforscher Adnan Khan kam ein schädlicher Workflow zum Einsatz, um das manipulierte Bitwarden CLI zu publizieren. „Ich glaube, dies ist das erste Mal, dass ein Paket kompromittiert wurde, das npm Trusted Publishing nutzt", so Khan.
Hinter dem jüngsten Angriff auf Checkmarx wird der als TeamPCP bekannte Akteur vermutet. Dessen X-Konto wurde zum Redaktionszeitpunkt wegen Verstoßes gegen die Plattformregeln gesperrt.
OX Security stieß bei der Analyse auf die Zeichenkette „Shai-Hulud: The Third Coming" im Paket, was auf die nächste Phase der im vergangenen Jahr bekannt gewordenen Lieferkettenkampagne hindeuten könnte. „Nutzerdaten werden öffentlich nach GitHub abgezogen und bleiben oft unentdeckt, weil Sicherheitswerkzeuge dorthin gesendete Daten in der Regel nicht beanstanden", erklärte Moshe Siman Tov Bustan, Leiter des Sicherheitsforschungsteams bei OX Security. Das mache das Risiko deutlich gefährlicher: Jeder, der GitHub durchsuche, könne diese Zugangsdaten potenziell finden und nutzen.
Wie schon beim Checkmarx-Vorfall werden die gestohlenen Daten in öffentliche Repositories abgezogen, die unter den Konten der Opfer angelegt werden – nach einem an „Dune" angelehnten Namensschema im Format „<Wort>-<Wort>-<3 Ziffern>". Bemerkenswert ist eine Abweichung: Die Malware beendet ihre Ausführung auf Systemen, deren Spracheinstellung auf Russland verweist. Das gemeinsam genutzte Werkzeug deute stark auf dasselbe Malware-Ökosystem hin, so Socket, doch die operativen Signaturen unterschieden sich auf eine Weise, die die Zuordnung erschwere – möglich seien ein anderer Betreiber mit gemeinsamer Infrastruktur, eine Abspaltung mit stärkerer ideologischer Motivation oder eine Weiterentwicklung der Kampagne.
Bitwarden bestätigte den Vorfall und führte ihn auf die Kompromittierung des npm-Vertriebsmechanismus infolge des Checkmarx-Angriffs zurück, betonte aber, dass keine Endnutzerdaten abgegriffen wurden. Das schädliche Paket sei laut Bitwarden nur in einem begrenzten Zeitfenster am 22. April 2026 zwischen 17:57 und 19:30 Uhr (ET) über den npm-Auslieferungsweg verteilt worden. Die Untersuchung habe keine Hinweise darauf ergeben, dass Tresordaten von Endnutzern abgeflossen oder Produktionssysteme kompromittiert worden seien. Nach Entdeckung seien der kompromittierte Zugang entzogen, die schädliche npm-Veröffentlichung als veraltet markiert und Gegenmaßnahmen eingeleitet worden. Betroffen sei der npm-Vertriebsmechanismus in diesem Zeitfenster, nicht die Integrität des legitimen Bitwarden-CLI-Codes oder gespeicherte Tresordaten. Für die Version 2026.4.0 werde ein CVE-Eintrag ausgestellt.