35 etiquetas infectadas en cuatro horas: un ataque a la GitHub Action de Checkmarx afectó a decenas de proyectos en todo el mundo

Un ataque a la cadena de suministro volvió a afectar a herramientas populares de desarrollo. Esta vez los atacantes introdujeron código malicioso en la GitHub Action del proyecto KICS de Checkmarx — una solución que se usa para revisar infraestructura como código. El incidente se desarrolló con rapidez y afectó a decenas de versiones, por lo que las consecuencias podrían ser más amplias de lo que pareció al principio.

El 23 de marzo, entre las 12:58 y las 16:50 UTC, los atacantes reemplazaron 35 etiquetas en el repositorio checkmarx/kics-github-action. Cualquier compilación que apuntara a versiones mediante etiquetas recibía un script malicioso. Tras el aviso de uno de los usuarios, el repositorio se deshabilitó temporalmente y luego se volvió a habilitar con una declaración de que el problema se había solucionado.

Según especialistas de Wiz, detrás del ataque está el grupo TeamPCP — el mismo equipo que recientemente llevó a cabo una operación similar contra Trivy. El modus operandi coincide: se usó la misma clave RSA y un esquema de distribución parecido mediante la suplantación de etiquetas.

El código malicioso se añadió al archivo setup.sh y se modificó la configuración action.yaml para que el script se ejecutara automáticamente al preparar el entorno. Tras arrancar, el programa recopilaba datos sensibles: variables de entorno, claves SSH, tokens de servicios en la nube y de Kubernetes. En entornos de GitHub Actions también se extraían secretos de la memoria de procesos.

Los datos recopilados se cifraban y enviaban al servidor de los atacantes checkmarx.zone. Si la transmisión fallaba, el script creaba un nuevo repositorio en la cuenta de la víctima y subía allí un archivo comprimido con la información robada.

Llamó la atención el mecanismo de persistencia. En clústeres de Kubernetes, el código malicioso intentó desplegar pods con privilegios para mantener el acceso incluso tras completar la compilación. En servidores convencionales se creaba un servicio oculto de systemd con una puerta trasera que periódicamente descargaba nuevas órdenes.

Paralelamente se detectaron extensiones infectadas en el catálogo OpenVSX: cx-dev-assist 1.7.0 y ast-results 2.53.0. Cargaban un módulo adicional con la misma funcionalidad de robo de datos. A diferencia de OpenVSX, las versiones en la tienda oficial de Visual Studio Code permanecieron limpias.

El 24 de marzo apareció otro detalle: en PyPI se detectaron paquetes infectados litellm versiones 1.82.7 y 1.82.8. El código malicioso funcionaba con un esquema similar, pero usaba otro dominio para exfiltrar los datos. Los paquetes fueron aislados rápidamente.

Checkmarx publicó una actualización con el análisis del incidente; sin embargo, las versiones infectadas de algunos componentes seguían estando disponibles al momento de publicar los informes.

Los especialistas recomiendan revisar todos los flujos de trabajo que usen KICS, especialmente si se emplearon referencias por etiquetas. En caso de sospecha de compromiso, aconsejan cambiar claves, tokens y otros secretos, así como buscar indicios de fuga, incluidos repositorios inesperados con el nombre docs-tpcp.

La situación muestra que los ataques a herramientas de desarrollo se están volviendo sistémicos. Incluso las soluciones de seguridad se convierten en un punto de entrada — y la protección de la cadena de suministro pasa a ser una prioridad.