Het Bitwarden CLI npm-pakket is kortstondig gecompromitteerd nadat aanvallers een kwaadaardig @bitwarden/cli-pakket uploadden naar npm. Dit pakket bevatte een payload die credentials stal en zich kon verspreiden naar andere projecten. Volgens rapporten van Socket, JFrog en OX Security werd de kwaadaardige versie 2026.4.0 tussen 17:57 en 19:30 ET op 22 april 2026 verspreid, waarna het pakket werd verwijderd.

Bitwarden bevestigde het incident en gaf aan dat alleen het npm-distributiekanaal van de CLI was getroffen en alleen gebruikers die de kwaadaardige versie hadden gedownload risico liepen. Volgens een verklaring is er geen bewijs dat eindgebruikersgegevens of productieomgevingen zijn aangetast. Na ontdekking werd de gecompromitteerde toegang ingetrokken, het kwaadaardige pakket ingetrokken en werden direct herstelmaatregelen genomen.

De aanval maakte gebruik van een gecompromitteerde GitHub Action in de CI/CD-pijplijn van Bitwarden om kwaadaardige code in het CLI-pakket te injecteren. Volgens JFrog werd het pakket aangepast zodat een preinstall-script en het CLI-entrypoint een custom loader (bw_setup.js) gebruiken die controleert op de Bun-runtime en deze indien nodig downloadt. Deze loader start vervolgens een geobfusceerd JavaScript-bestand (bw1.js) dat fungeert als credential-stealermalware.

De malware verzamelt diverse geheimen van geïnfecteerde systemen, waaronder npm-tokens, GitHub-authenticatietokens, SSH-sleutels en cloudcredentials voor AWS, Azure en Google Cloud. De verzamelde data wordt versleuteld met AES-256-GCM en via publieke GitHub-repositories onder het account van het slachtoffer geëxfiltreerd. Deze repositories bevatten de tekst "Shai-Hulud: The Third Coming", een verwijzing naar eerdere npm supply chain-aanvallen met vergelijkbare methoden, aldus OX Security.

Daarnaast beschikt de malware over zelfverspreidingsmogelijkheden. Zo kan het met gestolen npm-credentials pakketten identificeren die het slachtoffer kan aanpassen en deze injecteren met kwaadaardige code. Ook richt de payload zich op CI/CD-omgevingen om daar credentials te verzamelen die gebruikt kunnen worden om de aanval uit te breiden.

Deze aanval volgt op een aparte supply chain-incident bij Checkmarx, waarbij KICS Docker-images, GitHub Actions en ontwikkelaarsextensies werden getroffen. Hoewel het niet duidelijk is hoe de aanvallers toegang kregen tot het Bitwarden-account, meldt Socket dat er overeenkomsten zijn tussen de malware en infrastructuur van beide incidenten. Zo gebruikt de Bitwarden-malware dezelfde audit-endpoint en obfuscatie-routine als bij de Checkmarx-aanval, evenals vergelijkbare methoden voor credentialdiefstal en exfiltratie via GitHub.