تصاویر مخرب Docker و افزونه‌های VS Code در زنجیره تأمین Checkmarx کشف شدند

محققان امنیت سایبری هشدار دادند که تصاویر مخرب (malicious images) در مخزن رسمی «checkmarx/kics» در Docker Hub بارگذاری شده‌اند. شرکت امنیتی Socket فاش کرد که عوامل تهدید ناشناس موفق شدند تگ‌های موجود از جمله v2.1.20 و alpine را بازنویسی کرده و تگ جعلی v2.1.21 را نیز اضافه کنند. بر اساس این گزارش، باینری KICS موجود در تصویر آلوده دستکاری شده تا قابلیت‌های جمع‌آوری و استخراج داده (data exfiltration) را در خود داشته باشد؛ این بدافزار می‌تواند گزارش اسکن را رمزگذاری کرده و به یک سرور خارجی ارسال کند، که خطر جدی برای تیم‌هایی است که از KICS برای اسکن فایل‌های زیرساخت به‌عنوان کد (infrastructure-as-code) استفاده می‌کنند. همچنین چهار افزونه VS Code مرتبط با Checkmarx نیز آلوده شناسایی شدند.

این حمله زنجیره تأمین (supply chain attack) گسترده‌تر از یک رویداد ایزوله است؛ افزونه‌های آلوده حاوی کدی هستند که فایل مخرب «mcpAddon.js» را از GitHub دریافت کرده و اطلاعات حساس از جمله توکن‌های GitHub، اعتبارنامه‌های AWS، Azure و Google Cloud، کلیدهای SSH و متغیرهای محیطی را سرقت می‌کند. داده‌های دزدیده‌شده در مخازن عمومی GitHub ذخیره و به آدرس «audit.checkmarx[.]cx/v1/telemetry» ارسال می‌شوند. این بدافزار همچنین با سوءاستفاده از اعتبارنامه‌های npm قربانیان، ۲۵۰ بسته نرم‌افزاری را با محتوای مخرب بازنشر می‌کند تا انتشار کرم‌وار (worm-like propagation) داشته باشد. شواهد نشان می‌دهد گروه تهدید موسوم به TeamPCP پشت این حمله است که پیش‌تر نیز در مارس ۲۰۲۶ زیرساخت Checkmarx را هدف قرار داده بود. به سازمان‌های آسیب‌دیده توصیه شده فوراً افزونه‌ها و تصاویر آلوده را حذف و تمامی اعتبارنامه‌های در معرض خطر را تعویض کنند.