Разработчик инструментов для тестирования безопасности ПО Checkmarx стал новой целью серии кибератак, направленных на инфраструктуру поставщиков программных решений. Инцидент привел к утечке данных из репозиториев компании, ответственность за которую взяла на себя хакерская группировка Lapsus$.
Детали инцидента
Согласно заявлению представителей Checkmarx, расследование произошедшего продолжается. Предварительный анализ подтверждает, что опубликованные в сети данные были похищены из репозиториев GitHub компании. Доступ к ним злоумышленники получили в ходе первичной атаки на цепочку поставок, датированной 23 марта 2026 года.
В настоящее время доступ к скомпрометированному репозиторию ограничен. В компании пообещали незамедлительно оповестить всех затронутых клиентов, если в ходе дальнейшего изучения ситуации будет подтверждена утечка их персональных или конфиденциальных данных.
Масштаб угрозы
Хакеры из Lapsus$ опубликовали перечень украденных данных, в который, по их утверждению, вошли исходный код, API-ключи, учетные данные для доступа к базам данных MongoDB и MySQL, а также информация о сотрудниках компании.
Цепочка атак началась с компрометации популярного сканера уязвимостей с открытым исходным кодом Trivy. Группировка TeamPCP, стоящая за этими действиями, внедрила вредоносное ПО в сканер, что позволило им:
- Получить доступ к секретам разработчиков, облачным учетным данным и SSH-ключам.
- Установить бэкдоры для скрытого доступа к машинам пользователей.
- Использовать инструменты в качестве вектора для атак на другие системы, включая KICS — анализатор кода от Checkmarx.
Последствия для индустрии разработки
В результате атаки злоумышленники смогли внедрить скомпрометированный код в официальный образ KICS, размещенный в Docker Hub. Исследователи из компании Socket отмечают, что модифицированный двоичный файл KICS был способен собирать данные, шифровать отчеты и передавать их на сторонние серверы, что создает критические риски для компаний, сканирующих свою инфраструктуру.
Помимо KICS, под угрозой оказались и другие инструменты, в частности GitHub Actions и плагины для Open VSX. Эксперты подчеркивают, что злоумышленники целенаправленно выбирают инструменты, которым разработчики доверяют максимально: менеджеры паролей, сканеры безопасности и системы с высокими привилегиями.
В частности, была подтверждена компрометация клиента командной строки (CLI) менеджера паролей Bitwarden, что существенно расширяет радиус поражения. По оценкам специалистов, подобные атаки превращают доверенные инструменты в «узкие места», через которые преступники могут получить доступ к облачным средам, ключам CI/CD (систем непрерывной интеграции и доставки) и корпоративным данным тысяч компаний по всему миру.
Как отмечают аналитики, стратегия атакующих сменилась: вместо обхода средств защиты они стремятся подчинить себе сами инструменты безопасности, превращая их в инструменты для кражи данных и последующего распространения вредоносного ПО в цепочке поставок.
