「信任是供应链攻击的唯一武器。」当Bitwarden的CLI工具在4月22日自动分发恶意代码时,这句话得到了残酷验证。
导读
全球超1000万用户、5万家企业信赖的密码管理器,竟成了窃取密钥的"特洛伊木马"。攻击者没有钓鱼,没有社工,而是大摇大摆走进CI/CD管道,让Bitwarden自己的发布机制替他们完成了 malware 分发。
这不是假设。版本@bitwarden/cli@2026.4.0在93分钟内持续投毒,而开发者浑然不觉——毕竟,谁会怀疑自己每天运行的官方工具?
攻击路径:走后门,而非破前门
Bitwarden CLI在开发者环境中享有特权地位:密钥注入、自动化部署、CI/CD流水线核心组件。攻击者正是看中这一点。
他们利用GitHub Actions工作流的漏洞潜入,手法与Checkmarx供应链攻击campaign如出一辙——窃取凭证、注入恶意工作流、在构建输出中夹带私货。Security Boulevard报道显示,该威胁组织自2026年3月起便活跃至今。
恶意代码藏身bw1.js文件,安装即运行,悄无声息收割GitHub token、npm凭证、SSH密钥、环境变量。
为何防不胜防?
供应链攻击的可怕之处,在于它劫持的是"信任"本身。开发者以root权限运行这些工具,系统主动放行,安全软件视若无睹。
Socket、JFrog、Ox Security和StepSecurity的研究人员联合追踪到此攻击,但发现时,93分钟的窗口期已造成不可估量的暴露面。
一个反问
当你运行npm install时,你确定安装的只是你看到的代码?
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.