Versão manipulada do Bitwarden CLI distribuída via NPM
Um grave incidente de segurança afectou os utilizadores do cliente de linha de comandos do Bitwarden. Entre as 23h57 de 22 de abril e a 01h30 de 23 de abril, hora alemã, o pacote npm @bitwarden/cli foi distribuído na versão 2026.4.0 com código malicioso. Esta versão manipulada roubava sistematicamente as credenciais dos utilizadores que instalaram o pacote via NPM nessa janela temporal.
A Bitwarden sublinha, porém, que os dados guardados no próprio cofre de palavras-passe dos utilizadores finais (vault data) não foram afectados. A equipa de segurança da empresa conseguiu identificar e conter o pacote manipulado. A distribuição fez-se exclusivamente via NPM – quem não obteve o pacote por este canal não foi afectado pelo ataque.
Parte de um ataque mais amplo à cadeia de fornecimento da Checkmarx
O incidente está relacionado com um ataque mais amplo à cadeia de fornecimento da Checkmarx. A versão comprometida 2026.4.0 está entretanto marcada como deprecated e o acesso indevidamente utilizado foi revogado. Investigadores de segurança da JFrog e da Socket.dev analisaram o malware em detalhe e revelaram mecanismos de ataque sofisticados.
Detalhes técnicos do ataque
O package.json manipulado continha um script preinstall que executava automaticamente, durante a instalação, um ficheiro de carregamento chamado bw_setup.js. Este descarregava do GitHub o runtime Bun na versão 1.3.13 e iniciava um payload JavaScript ofuscado com a designação bw1.js.
O código malicioso visava um amplo espectro de dados sensíveis e recolhia sistematicamente:
- Tokens do GitHub e do npm
- Chaves SSH
- Históricos de shell
- Credenciais de AWS, Google Cloud e Azure
- Segredos do GitHub Actions
- Credenciais do Git
- Ficheiros .env
- Ficheiros de configuração de ferramentas de IA como o Claude e o MCP
Mecanismos de exfiltração sofisticados
Os dados roubados eram transmitidos, sobretudo de forma cifrada, para o endereço audit.checkmarx.cx (IP: 94.154.172.43). Como mecanismo alternativo, o malware usava uma abordagem particularmente sofisticada: os tokens do GitHub roubados eram validados para criar, na conta da vítima, repositórios destinados à exfiltração de dados.
Nesse processo, os atacantes escondiam Personal Access Tokens (PAT) codificados em duplo Base64 em mensagens de commit com o marcador característico "LongLiveTheResistanceAgainstMachines". Este método mostra o elevado profissionalismo do ataque e o modo de proceder engenhoso dos cibercriminosos.
Significado para o sector da segurança
Este incidente evidencia os riscos crescentes na cadeia de fornecimento de software e mostra como até ferramentas de confiança, como o Bitwarden CLI, podem tornar-se alvo de ataques à cadeia de fornecimento. Para empresas e responsáveis de segurança, o ataque sublinha a necessidade de manter a vigilância mesmo perante ferramentas de segurança consolidadas.
O facto de os atacantes visarem especificamente credenciais de programadores e dados de acesso à cloud deixa claro o valor que estas informações têm para os cibercriminosos. Com tokens do GitHub, chaves AWS e credenciais SSH roubados, os atacantes podem causar danos de grande alcance nas infra-estruturas empresariais.
Contramedidas imediatas para os afectados
Os utilizadores que instalaram a versão 2026.4.0 na janela temporal referida têm de agir de imediato. A Bitwarden recomenda os seguintes passos:
Limpeza técnica
- Desinstalação com o comando: npm uninstall -g @bitwarden/cli
- Esvaziamento da cache do npm
- Procura dos artefactos bw_setup.js, bw1.js e do runtime Bun descarregado
- Bloqueio do domínio audit.checkmarx.cx e do IP 94.154.172.43 nas firewalls
Rotação de credenciais
Especialmente importante é a rotação imediata de todas as credenciais guardadas no sistema comprometido:
- GitHub Personal Access Tokens
- Tokens do npm
- AWS Access Keys
- Segredos do Azure e da Google Cloud Platform
- Chaves SSH
Além disso, os administradores devem verificar os workflows do GitHub Actions quanto a execuções não autorizadas e investigar actividades suspeitas nos repositórios.
Medidas de prevenção e perspectivas
Este incidente mostra a importância de estratégias de segurança abrangentes. As empresas devem rever regularmente as suas dependências de pacotes NPM e implementar sistemas de monitorização capazes de detectar actividades de rede invulgares. A utilização de ficheiros package-lock e a verificação de somas de controlo podem oferecer protecção adicional.
Actualmente, todos os repositórios voltam a distribuir a versão regular 2026.3.0. Segundo o fabricante, esta e todas as outras versões do Bitwarden CLI, à excepção da 2026.4.0, não estão afectadas. A Bitwarden garante que os sistemas de produção e os dados dos cofres não foram comprometidos em momento algum.
Para o sector da segurança, este incidente sublinha a necessidade de encarar a segurança da cadeia de fornecimento como parte integrante da estratégia de cibersegurança. O profissionalismo do ataque e os sofisticados mecanismos de exfiltração mostram que também em ecossistemas de confiança como o NPM é exigida a máxima vigilância.
