Como a cadeia de suprimentos de software se tornou alvo para vazamento de código-fonte e credenciais

Uma campanha sofisticada de ataque à cadeia de suprimentos de software está comprometendo ferramentas amplamente utilizadas por desenvolvedores e equipes de segurança, ampliando significativamente o risco para empresas em todo o mundo. O incidente mais recente envolve a Checkmarx, que confirmou indícios de que dados sensíveis publicados online — incluindo código-fonte, chaves de API e credenciais — tiveram origem em um de seus repositórios no GitHub, após alegações do grupo de extorsão Lapsus$.

De acordo com a investigação, o comprometimento não foi isolado, mas sim parte de uma operação coordenada iniciada semanas antes, evidenciando uma estratégia clara de atacar ferramentas críticas do ecossistema de desenvolvimento. O vetor inicial remonta ao final de fevereiro, quando o grupo TeamPCP comprometeu o Trivy, um scanner de vulnerabilidades open source amplamente utilizado. A partir desse acesso, os invasores conseguiram roubar segredos de CI/CD, credenciais de nuvem, chaves SSH e configurações de Kubernetes, estabelecendo persistência nos ambientes afetados.

A cadeia de ataque evoluiu rapidamente. Em março, os hackers injetaram malware no próprio Trivy, adicionando capacidades de coleta e exfiltração de dados. Em seguida, utilizaram o acesso obtido para comprometer outras ferramentas conectadas ao pipeline de desenvolvimento, incluindo o KICS — ferramenta de análise estática da Checkmarx — onde distribuíram imagens Docker adulteradas contendo código malicioso.

Essas versões comprometidas foram projetadas para operar de forma furtiva: ao executar análises de infraestrutura como código, o malware conseguia gerar relatórios não filtrados, criptografá-los e enviá-los para servidores controlados pelos atacantes. Esse comportamento representa um risco crítico, já que arquivos de infraestrutura frequentemente contêm credenciais sensíveis e configurações estratégicas.

O impacto não parou por aí. Os invasores expandiram o ataque para outros componentes do ecossistema da Checkmarx, incluindo GitHub Actions e plugins distribuídos via Open VSX. Além disso, pesquisadores identificaram que o CLI do gerenciador de senhas Bitwarden também foi comprometido dentro dessa mesma campanha, ampliando drasticamente o potencial de impacto — considerando que a ferramenta é utilizada por milhões de usuários e dezenas de milhares de empresas.

Esse tipo de ataque evidencia uma mudança estratégica relevante no cenário de ameaças. Em vez de contornar mecanismos de segurança, os hackers estão mirando diretamente nas ferramentas de confiança utilizadas para proteger e gerenciar ambientes. Ao comprometer esses pontos centrais — muitas vezes com privilégios elevados — eles conseguem acesso indireto a tokens do GitHub, credenciais de nuvem, pipelines de deploy e até ambientes produtivos completos.

Outro fator crítico é o modelo de propagação. Como essas ferramentas estão profundamente integradas em pipelines de CI/CD e workflows automatizados, qualquer comprometimento pode se espalhar rapidamente entre múltiplas organizações, caracterizando um efeito cascata típico de ataques à cadeia de suprimentos. Esse padrão já foi observado em incidentes anteriores, mas agora ganha escala com a inclusão de ferramentas de segurança no alvo direto.

Há ainda indícios de colaboração entre diferentes grupos hackers. O TeamPCP teria se aliado a grupos de ransomware e extorsão, como o próprio Lapsus$, com o objetivo de monetizar os acessos obtidos e ampliar o impacto das campanhas. Em fóruns clandestinos, os invasores chegaram a afirmar que pretendem encadear essas invasões para viabilizar operações de ransomware em larga escala.

O caso reforça uma tendência preocupante: a exploração de ferramentas críticas e altamente privilegiadas como ponto de entrada para ataques mais amplos. Em um cenário onde pipelines automatizados e integrações com cloud são padrão, comprometer um único componente pode ser suficiente para abrir portas em múltiplas camadas da infraestrutura corporativa.