Versione manipolata della Bitwarden CLI distribuita tramite NPM
Un grave incidente di sicurezza ha colpito gli utenti del client da riga di comando di Bitwarden. Tra le 23:57 del 22 aprile e l'01:30 del 23 aprile, ora tedesca, il pacchetto npm @bitwarden/cli è stato distribuito nella versione 2026.4.0 con codice malevolo. Questa versione manipolata ha rubato sistematicamente le credenziali degli utenti che hanno installato il pacchetto tramite NPM in questa finestra temporale.
Bitwarden sottolinea tuttavia che i dati degli utenti finali archiviati nella vera e propria cassaforte delle password (vault data) non sarebbero stati coinvolti. Il team di sicurezza dell'azienda è riuscito a identificare e a contenere il pacchetto manipolato. La distribuzione è avvenuta esclusivamente tramite NPM: chi non ha ottenuto il pacchetto attraverso questo canale non è interessato dall'attacco.
Parte di un attacco più ampio alla supply chain di Checkmarx
L'episodio è collegato a un attacco più ampio alla supply chain di Checkmarx. La versione compromessa 2026.4.0 è nel frattempo contrassegnata come deprecated e l'accesso utilizzato in modo abusivo è stato revocato. I ricercatori di sicurezza di JFrog e Socket.dev hanno analizzato in dettaglio il malware, scoprendo meccanismi di attacco raffinati.
Dettagli tecnici dell'attacco
Il package.json manipolato conteneva uno script preinstall che, durante la procedura di installazione, eseguiva automaticamente un file loader denominato bw_setup.js. Questo scaricava da GitHub il runtime Bun nella versione 1.3.13 e avviava un payload JavaScript offuscato con la denominazione bw1.js.
Il codice malevolo puntava a un ampio spettro di dati sensibili e raccoglieva sistematicamente:
- Token GitHub e npm
- Chiavi SSH
- Cronologie della shell
- Credenziali per AWS, Google Cloud e Azure
- Secret di GitHub Actions
- Credenziali Git
- File .env
- File di configurazione di strumenti di IA come Claude e MCP
Meccanismi di esfiltrazione raffinati
I dati sottratti venivano trasmessi in forma cifrata principalmente all'indirizzo audit.checkmarx.cx (IP: 94.154.172.43). Come meccanismo di fallback il malware utilizzava un approccio particolarmente raffinato: i token GitHub rubati venivano validati per creare, sotto l'account della vittima, repository destinati all'esfiltrazione dei dati.
Gli aggressori nascondevano in questo modo Personal Access Token (PAT) codificati in double base64 nei messaggi di commit, con il marcatore caratteristico «LongLiveTheResistanceAgainstMachines». Questo metodo mostra l'elevata professionalità dell'attacco e il modo di procedere ingegnoso dei cybercriminali.
Rilevanza per il settore della sicurezza
Questo episodio evidenzia i crescenti rischi nella supply chain del software e mostra come anche strumenti affidabili come la Bitwarden CLI possano diventare bersaglio di attacchi supply chain. Per le aziende e i responsabili della sicurezza l'attacco sottolinea la necessità di restare vigili anche di fronte a strumenti di sicurezza consolidati.
Il fatto che gli aggressori puntassero in modo mirato alle credenziali degli sviluppatori e agli accessi cloud rende evidente il valore che queste informazioni hanno per i cybercriminali. Con token GitHub, chiavi AWS e credenziali SSH rubate gli aggressori possono provocare danni ingenti nelle infrastrutture aziendali.
Contromisure immediate per gli interessati
Gli utenti che hanno installato la versione 2026.4.0 nella finestra temporale indicata devono agire immediatamente. Bitwarden raccomanda i seguenti passaggi:
Bonifica tecnica
- Disinstallazione con il comando: npm uninstall -g @bitwarden/cli
- Svuotamento della cache npm
- Ricerca degli artefatti bw_setup.js, bw1.js e del runtime Bun scaricato
- Blocco del dominio audit.checkmarx.cx e dell'IP 94.154.172.43 nei firewall
Rotazione delle credenziali
Particolarmente importante è la rotazione immediata di tutte le credenziali archiviate sul sistema compromesso:
- Personal Access Token di GitHub
- Token npm
- AWS Access Key
- Secret di Azure e Google Cloud Platform
- Chiavi SSH
Inoltre gli amministratori dovrebbero verificare i workflow di GitHub Actions alla ricerca di esecuzioni non autorizzate ed esaminare le attività sospette sui repository.
Misure di prevenzione e prospettive
Questo episodio mostra l'importanza di strategie di sicurezza complete. Le aziende dovrebbero verificare regolarmente le proprie dipendenze dai pacchetti NPM e implementare sistemi di monitoraggio in grado di riconoscere attività di rete insolite. L'utilizzo di package lock file e la verifica dei checksum possono offrire una protezione aggiuntiva.
Attualmente tutti i repository distribuiscono nuovamente la versione regolare 2026.3.0. Secondo il produttore, questa e tutte le altre versioni della Bitwarden CLI, a eccezione della 2026.4.0, non sono interessate. Bitwarden assicura che i sistemi di produzione e i dati del vault non sono mai stati compromessi.
Per il settore della sicurezza questo episodio sottolinea la necessità di considerare la sicurezza della supply chain come parte integrante della strategia di cybersecurity. La professionalità dell'attacco e i raffinati meccanismi di esfiltrazione mostrano che anche in ecosistemi affidabili come NPM è richiesta la massima vigilanza.
