Tấn công chuỗi cung ứng đang nhắm trực tiếp vào các công cụ bảo mật và phát triển phần mềm

Công ty kiểm thử bảo mật phần mềm Checkmarx vừa trở thành nạn nhân mới nhất trong một chiến dịch tấn công chuỗi cung ứng đang diễn ra nhắm vào các nhà cung cấp công cụ bảo mật. Checkmarx xác nhận rằng dữ liệu bị đăng tải trực tuyến dường như xuất phát từ một trong các kho lưu trữ (repository) GitHub của họ, sau khi nhóm tống tiền Lapsus$ tuyên bố đã đổ bộ mã nguồn, các khóa bí mật và dữ liệu nhạy cảm khác của công ty.

Trong một bản cập nhật vào Chủ nhật, Checkmarx cho biết cuộc điều tra vẫn đang tiếp diễn và họ đang nỗ lực "xác minh tính chất và phạm vi" của dữ liệu bị lộ. Tuy nhiên, bằng chứng hiện tại cho thấy "dữ liệu này có nguồn gốc từ kho lưu trữ GitHub của Checkmarx và quyền truy cập vào kho lưu trữ đó được thực hiện thông qua cuộc tấn công chuỗi cung ứng ban đầu vào ngày 23 tháng 3 năm 2026".

Công ty bảo mật này đã khóa quyền truy cập vào kho lưu trữ bị ảnh hưởng và khẳng định nếu điều tra xác định có thông tin khách hàng nào bị đăng tải, họ sẽ thông báo "cho tất cả các bên liên quan ngay lập tức".

Từ Trivy đến Checkmarx

Trước đó một ngày, nhóm trộm dữ liệu Lapsus$ đã thêm Checkmarx vào danh sách nạn nhân trên trang web rò rỉ dữ liệu của họ. Trong một bài đăng được chia sẻ trên X bởi Dark Web Informer, những kẻ tống tiền tuyên bố đã đổ bộ một lượng lớn thông tin nhạy cảm, bao gồm mã nguồn, khóa API, thông tin đăng nhập MongoDB và MySQL, cũng như chi tiết nhân viên.

Cuộc tấn công ban đầu mà Checkmarx đề cập xảy ra vào ngày 23 tháng 3, khi một nhóm tội phạm mạng mới nổi tên là TeamPCP đã sử dụng các bí mật CI/CD bị đánh cắp từ Trivy — công cụ mà họ xâm nhập thành công vào cuối tháng 2.

Trivy là trình quét lỗ hổng mã nguồn mở được bảo trì bởi Aqua Security. Vào ngày 16 tháng 3, TeamPCP đã chèn mã độc đánh cắp thông tin xác thực vào trình quét này, thu thập hàng loạt bí mật của nhà phát triển, thông tin xác thực đám mây, khóa SSH và tệp cấu hình Kubernetes, sau đó cài đặt các cửa sau (backdoors) liên tục trên máy của nhà phát triển.

Mã độc trong Docker Hub

Sự xâm nhập này cũng cung cấp cho kẻ tấn công một vectơ truy cập ban đầu vào một số công cụ mã nguồn mở khác, bao gồm LiteLLM, Telnyx và KICS — công cụ phân tích tĩnh mã nguồn mở do Checkmarx bảo trì.

Vào ngày 23 tháng 3, TeamPCP đã chèn cùng một mã độc đánh cắp thông tin xác thực vào KICS và đẩy các hình ảnh (images) đã bị đầu độc lên kho lưu trữ Docker Hub chính thức của Checkmarx.

"Phân tích hình ảnh bị đầu độc cho thấy tệp nhị phân KICS đi kèm đã được sửa đổi để bao gồm khả năng thu thập và exfiltrate (triệt tiêu) dữ liệu không có trong phiên bản chính thống," nhóm nghiên cứu của Socket viết trong phân tích trước đó của họ về cuộc tấn công chuỗi cung ứng Checkmarx.

"Nghiên cứu của chúng tôi tìm thấy bằng chứng cho thấy mã độc có thể tạo ra báo cáo quét không bị kiểm duyệt, mã hóa nó và gửi đến một điểm cuối bên ngoài, tạo ra rủi ro nghiêm trọng cho các nhóm sử dụng KICS để quét tệp cơ sở hạ tầng dưới dạng mã (Infrastructure-as-Code) có thể chứa thông tin xác thực hoặc dữ liệu cấu hình nhạy cảm khác," các nhà nghiên cứu bảo mật chuỗi cung ứng cho biết.

Hiệu ứng lan rộng

Ngoài hình ảnh KICS bị trojan hóa, những kẻ xấu đã xâm phạm thêm các công cụ phát triển của Checkmarx, bao gồm Checkmarx GitHub Actions và hai plugin Open VSX.

Cuối tuần trước, các nhà nghiên cứu của Socket đã tiết lộ rằng CLI (giao diện dòng lệnh) của trình quản lý mật khẩu mã nguồn mở Bitwarden cũng bị xâm phạm như một phần của sự cố xâm nhập Checkmarx. Điều này mở rộng đáng kể phạm vi ảnh hưởng tiềm tàng của cuộc tấn công vì Bitwarden có hơn 10 triệu người dùng và hơn 50.000 doanh nghiệp sử dụng.

"Những kẻ tấn công đang cố ý nhắm vào các công cụ mà nhà phát triển được tin tưởng sử dụng nhất: trình quét bảo mật, trình quản lý mật khẩu và các phần mềm có quyền hạn cao khác được kết nối trực tiếp vào môi trường phát triển," Feross Aboukhadijeh, CEO của Socket, cho biết.

"Khi bạn xâm phạm một công cụ như vậy, bạn không chỉ xâm phạm một nhà cung cấp. Bạn có khả năng thu được quyền truy cập vào token GitHub, thông tin xác thực đám mây, bí mật CI, quyền truy cập xuất bản npm và các môi trường hạ nguồn mà những công cụ này chạm tới."

Xu hướng nguy hiểm mới

Ông Aboukhadijeh cũng chỉ ra rằng những kẻ tấn công đang nhắm cụ thể vào các công cụ và nhà cung cấp bảo mật trong chiến dịch này. "Các tác nhân đe dọa đứng sau các cuộc tấn công này có cái nhìn thù địch sâu sắc đối với trạng thái hiện tại của các công cụ và nhà cung cấp bảo mật. Họ đang nhắm mục tiêu rõ ràng vào hệ sinh thái bảo mật mã nguồn mở và cơ sở hạ tầng của nhà phát triển."

Sau khi xâm phạm ban đầu vào Trivy, LiteLLM, KICS và các công cụ bảo mật mã nguồn mở khác, TeamPCP đã hợp tác với các nhóm ransomware và tống tiền bao gồm Vect và Lapsus$, khoe khoang trên BreachForums rằng "chúng tôi sẽ thực hiện các hoạt động chuỗi cung ứng lớn hơn nữa. Chúng tôi sẽ xâu chuỗi các sự xâm phạm này thành các chiến dịch ransomware tàn phá tiếp theo."

Vào đầu tháng 4, startup đào tạo AI Mercor xác nhận họ là "một trong hàng nghìn công ty" bị ảnh hưởng bởi cuộc tấn công chuỗi cung ứng LiteLLM sau khi Lapsus$ chào bán 4 TB dữ liệu, bao gồm 939 GB mã nguồn của Mercor, cho người trả giá cao nhất.

"Thay vì chỉ lách qua các công cụ bảo mật, chúng đang tấn công trực tiếp vào chúng," Aboukhadijeh nói. "Chúng biết các sản phẩm này được tích hợp sâu, rất đáng tin cậy và thường có quyền hạn quá mức. Điều đó khiến chúng trở thành các điểm nghẽn cực kỳ hiệu quả cho cả việc đánh cắp dữ liệu và lan truyền hạ nguồn."