供应链攻击持续发酵：黑客锁定安全与开发工具

软件安全测试公司Checkmarx成为最新一家卷入针对安全工具提供商持续攻击的组织。此前，勒索组织Lapsus$声称窃取了该公司的源代码、机密及其他敏感数据，随后网上发布的数据似乎证实来自Checkmarx的一个GitHub存储库。在近期的更新中，Checkmarx表示调查仍在进行中，正努力核实数据的性质和范围。

不过现有证据表明，这些数据确实源自其GitHub存储库，且黑客是通过3月23日发生的一起初始供应链攻击获取了访问权限。目前，该公司已锁定受影响存储库的访问权限，并表示如果调查确定有客户信息被发布到网上，将立即通知所有相关方。早在一天前，数据窃贼Lapsus$就将Checkmarx列入了其泄露网站的受害者名单。根据暗网信息员分享的帖子，勒索者声称已经倾印了大量敏感信息，包括源代码、API密钥、MongoDB和MySQL登录凭证以及员工详细信息。Checkmarx尚未对被盗数据和Lapsus$的说法作出正式回应，但承诺会提供更详细的更新，因为这场供应链混乱正在安全和开发者工具领域引发连锁反应。Checkmarx在公告中提到的初始攻击发生在3月23日，当时一个名为TeamPCP的新型网络犯罪团伙使用了从Trivy窃取的CI/CD机密信息。Trivy是由Aqua Security维护的开源漏洞扫描器，该团伙在2月底首次入侵了它。3月16日，TeamPCP将窃取凭据的恶意软件注入扫描器，搜刮了大量开发者的机密、云凭据、SSH密钥和Kubernetes配置文件，随后在开发者的机器上植入了持久的后门。这次入侵也为攻击者提供了进入其他几个开源工具的初始访问途径，包括LiteLLM、Telnyx以及由Checkmarx维护的开源静态分析工具KICS。3月23日，TeamPCP将相同的窃密软件注入KICS，并将被感染的镜像推送到Checkmarx维护的官方Docker Hub存储库中。Socket的研究团队在分析中指出，捆绑的KICS二进制文件被修改，加入了合法版本中不存在的数据收集和外传功能。研究发现，该恶意软件能够生成未经审查的扫描报告，将其加密并发送到外部端点。对于使用KICS扫描可能包含凭据或敏感配置数据的基础设施即代码文件的团队来说，这带来了极大的风险。情况随后变得更糟。除了被植入木马的KICS镜像外，不法分子还入侵了其他Checkmarx开发者工具，包括Checkmarx GitHub Actions和两个Open VSX插件。Checkmarx在最初的安全公告中证实，公司遭遇了网络安全供应链事件，影响了通过Open VSX市场分发的两个特定插件以及两个GitHub Actions工作流。攻击者正在蓄意瞄准开发者最信任的工具：安全扫描器、密码管理器以及其他直接接入开发者环境的高权限软件。

Socket研究人员透露，开源密码管理器Bitwarden的CLI也在Checkmarx入侵事件中遭到破坏。这极大地扩大了攻击的潜在破坏范围，因为Bitwarden号称是全球第二大企业密码管理器，拥有千万级用户和庞大的企业客户群。Socket首席执行官Feross Aboukhadijeh表示，当黑客攻破这样的工具时，他们不仅仅是在攻击一个供应商，而是可能获取GitHub Token、云凭据、CI机密信息以及这些工具所接触的下游环境的访问权限。此外，攻击者在此次持续的行动中专门针对安全工具和供应商。幕后的威胁行为者对当前安全工具和供应商的现状抱有极深的敌意，他们明确将开源安全生态系统和开发者基础设施作为目标。在初步入侵Trivy、LiteLLM、KICS等开源安全工具后，TeamPCP与包括Vect和Lapsus$在内的勒索组织结盟，并在黑客论坛上吹嘘将策划更大规模的供应链行动，将这些入侵转化为毁灭性的后续勒索软件攻击。今年4月初，AI初创公司Mercor证实，由于Lapsus$将包含Mercor源代码在内的数据公开拍卖，他们成为了受LiteLLM供应链攻击影响的数千家公司之一。专家指出，黑客不再仅仅是绕过安全工具，而是直接对其发起攻击。他们知道这些产品根植极深、备受信赖且通常拥有极高权限，这使其成为数据窃取和下游传播的绝佳突破口。

Q&AQ1：Checkmarx遭遇了什么网络攻击？

A：Checkmarx遭到了一起供应链攻击，黑客通过入侵其开源工具获取了GitHub存储库的访问权限，导致源代码、API密钥、数据库凭证等敏感数据可能被勒索组织Lapsus$窃取并泄露。

Q2：黑客是如何入侵Checkmarx及其他开发者工具的？

A：网络犯罪团伙TeamPCP首先入侵了开源漏洞扫描器Trivy并窃取了大量凭据，随后利用这些权限入侵了Checkmarx的KICS、LiteLLM和Bitwarden等其他重要工具，并向其中注入了用于窃取数据的恶意软件。

Q3：为什么黑客要专门针对安全扫描器和密码管理器等工具？

A：因为这些安全工具深度嵌入在开发者的工作环境中，备受信任且通常拥有极高的系统权限。攻破它们不仅能窃取供应商的数据，还能顺藤摸瓜获取大量云凭据、Token以及下游企业环境的控制权。