Manipulierte Bitwarden CLI-Version über NPM verteilt
Ein schwerwiegender Sicherheitsvorfall hat die Nutzer des Bitwarden Kommandozeilen-Clients betroffen. Zwischen 23:57 Uhr am 22. April und 01:30 Uhr am 23. April deutscher Zeit wurde das npm-Paket @bitwarden/cli in der Version 2026.4.0 mit Schadcode ausgeliefert. Diese manipulierte Version stahl systematisch Zugangsdaten der Nutzer, die das Paket in diesem Zeitfenster über NPM installierten.
Bitwarden betont jedoch, dass die im eigentlichen Passwort-Safe abgelegten Daten der Endnutzer (Vault-Data) nicht betroffen seien. Das Sicherheitsteam des Unternehmens konnte das manipulierte Paket identifizieren und eindämmen. Die Verteilung erfolgte ausschließlich über NPM - wer das Paket nicht über diesen Kanal bezogen hat, ist nicht von dem Angriff betroffen.
Teil eines größeren Angriffs auf die Checkmarx-Lieferkette
Der Vorfall steht im Zusammenhang mit einem umfassenderen Angriff auf die Checkmarx-Lieferkette. Die kompromittierte Version 2026.4.0 ist mittlerweile als deprecated markiert und der missbrauchte Zugang wurde widerrufen. Sicherheitsforscher von JFrog und Socket.dev haben die Malware detailliert analysiert und dabei raffinierte Angriffsmechanismen aufgedeckt.
Technische Details des Angriffs
Das manipulierte package.json enthielt ein preinstall-Skript, das automatisch beim Installationsvorgang eine Loader-Datei namens bw_setup.js ausführte. Diese lud die Bun-Runtime in der Version 1.3.13 von GitHub herunter und startete ein obfuskiertes JavaScript-Payload mit der Bezeichnung bw1.js.
Der Schadcode zielte auf ein breites Spektrum sensibler Daten ab und sammelte systematisch:
- GitHub- und npm-Tokens
- SSH-Schlüssel
- Shell-Historien
- Zugangsdaten für AWS, Google Cloud und Azure
- GitHub-Actions-Secrets
- Git-Credentials
- .env-Dateien
- Konfigurationsdateien von KI-Tools wie Claude und MCP
Raffinierte Exfiltrationsmechanismen
Die gestohlenen Daten wurden primär verschlüsselt an die Adresse audit.checkmarx.cx (IP: 94.154.172.43) übertragen. Als Fallback-Mechanismus nutzte die Malware einen besonders raffinierten Ansatz: Gestohlene GitHub-Tokens wurden validiert, um unter dem Konto des Opfers Repositories zur Datenexfiltration anzulegen.
Dabei versteckten die Angreifer Double-Base64-kodierte Personal Access Tokens (PATs) in Commit-Messages mit dem charakteristischen Marker "LongLiveTheResistanceAgainstMachines". Diese Methode zeigt die hohe Professionalität des Angriffs und die ausgeklügelte Vorgehensweise der Cyberkriminellen.
Bedeutung für die Sicherheitsbranche
Dieser Vorfall verdeutlicht die wachsenden Risiken in der Software-Lieferkette und zeigt, wie selbst vertrauenswürdige Tools wie Bitwarden CLI zur Zielscheibe von Supply-Chain-Angriffen werden können. Für Unternehmen und Sicherheitsverantwortliche unterstreicht der Angriff die Notwendigkeit, auch bei etablierten Sicherheitswerkzeugen wachsam zu bleiben.
Die Tatsache, dass die Angreifer gezielt auf Entwickler-Credentials und Cloud-Zugangsdaten abzielten, macht deutlich, welchen Wert diese Informationen für Cyberkriminelle haben. Mit gestohlenen GitHub-Tokens, AWS-Schlüsseln und SSH-Zugangsdaten können Angreifer weitreichenden Schaden in Unternehmensinfrastrukturen anrichten.
Sofortige Gegenmaßnahmen für Betroffene
Nutzer, die die Version 2026.4.0 im genannten Zeitfenster installiert haben, müssen umgehend handeln. Bitwarden empfiehlt folgende Schritte:
Technische Bereinigung
- Deinstallation mit dem Befehl: npm uninstall -g @bitwarden/cli
- Leeren des npm-Cache
- Suche nach den Artefakten bw_setup.js, bw1.js und heruntergeladener Bun-Runtime
- Blockierung der Domain audit.checkmarx.cx und IP 94.154.172.43 in Firewalls
Credential-Rotation
Besonders wichtig ist die sofortige Rotation sämtlicher Zugangsdaten, die auf dem kompromittierten System gespeichert waren:
- GitHub Personal Access Tokens
- npm-Tokens
- AWS Access Keys
- Azure- und Google Cloud Platform-Secrets
- SSH-Schlüssel
Zusätzlich sollten Administratoren GitHub-Actions-Workflows auf unautorisierte Ausführungen prüfen und verdächtige Repository-Aktivitäten untersuchen.
Präventionsmaßnahmen und Ausblick
Dieser Vorfall zeigt die Bedeutung umfassender Sicherheitsstrategien auf. Unternehmen sollten ihre Abhängigkeiten von NPM-Paketen regelmäßig überprüfen und Monitoring-Systeme implementieren, die ungewöhnliche Netzwerkaktivitäten erkennen. Die Verwendung von Package-Lock-Files und die Überprüfung von Checksummen können zusätzlichen Schutz bieten.
Aktuell liefern alle Repositories wieder die reguläre Version 2026.3.0 aus. Diese und alle anderen Versionen der Bitwarden CLI außer 2026.4.0 sind laut Hersteller nicht betroffen. Bitwarden versichert, dass Produktionssysteme und Vault-Daten zu keinem Zeitpunkt kompromittiert wurden.
Für die Sicherheitsbranche unterstreicht dieser Vorfall die Notwendigkeit, Supply-Chain-Sicherheit als integralen Bestandteil der Cybersecurity-Strategie zu betrachten. Die Professionalität des Angriffs und die raffinierten Exfiltrationsmechanismen zeigen, dass auch in vertrauenswürdigen Ökosystemen wie NPM höchste Wachsamkeit geboten ist.
