نقض زنجیره تامین جدید Checkmarx ابزار تحلیل KICS را تحت تاثیر قرار داد

هکرها تصاویر داکر (Docker images)، افزونه‌های VSCode و Open VSX مربوط به ابزار تحلیل امنیتی KICS شرکت Checkmarx را به خطر انداختند تا داده‌های حساس محیط‌های توسعه‌دهندگان را سرقت کنند. شرکت امنیتی Socket پس از دریافت هشداری از داکر درباره تصاویر مخرب بارگذاری‌شده در مخزن رسمی checkmarx/kics در Docker Hub، این حادثه را بررسی کرد. بازه زمانی خطرناک برای تصویر آلوده در DockerHub از ساعت ۱۴:۱۷:۵۹ تا ۱۵:۴۱:۳۱ روز ۲۲ آوریل ۲۰۲۶ (به وقت UTC) بود. بدافزار از طریق یک افزونه پنهان به نام «MCP addon» توزیع شد و اطلاعاتی نظیر توکن‌های GitHub، اعتبارنامه‌های ابری (AWS، Azure، Google Cloud)، کلیدهای SSH و متغیرهای محیطی را رمزگذاری کرده و به دامنه‌ای جعلی به نشانی audit.checkmarx[.]cx ارسال می‌کرد که برای جعل هویت زیرساخت قانونی Checkmarx طراحی شده بود.

Checkmarx در یک اطلاعیه امنیتی تأیید کرد که تمامی فایل‌های مخرب حذف و اعتبارنامه‌های افشاشده باطل و جایگزین شده‌اند. به توسعه‌دهندگانی که تصاویر آلوده را دریافت کرده‌اند توصیه می‌شود فوراً اعتبارنامه‌های خود را تغییر دهند، دسترسی به آدرس‌های IP مرتبط با حمله را مسدود کنند و به نسخه‌های امن بازگردند. آخرین نسخه‌های امن عبارتند از: DockerHub KICS نسخه v2.1.20، Checkmarx ast-github-action نسخه v2.3.36، افزونه‌های VS Code نسخه v2.64.0 و افزونه Developer Assist نسخه v1.18.0. گروه هکری TeamPCP که مسئولیت حملات زنجیره تأمین (supply-chain) Trivy و LiteLLM را نیز بر عهده گرفته، این حمله را به خود نسبت داده، اما محققان شواهد کافی برای تأیید قطعی این انتساب نیافتند.