2026 সালে Checkmarx GitHub সাপ্লাই চেইনে তথ্য ফাঁস

6 জুলাই হালনাগাদ করা Checkmarx-এর ঘটনাসংক্রান্ত সমন্বিত পৃষ্ঠায় বলা হয়েছে, Mandiant-এর সহায়তায় পরিচালিত তদন্ত ও নিরাপত্তা জোরদারের কাজ শেষ হয়েছে এবং ঘটনাটি সম্পূর্ণ নিয়ন্ত্রণে আনা হয়েছে। কোম্পানির আনুষ্ঠানিক ঘটনাক্রমে প্রাথমিক অনুপ্রবেশ, ক্ষতিকর সফটওয়্যার উপাদান, 30 মার্চ ডেটা চুরি করে বাইরে নেওয়া, 25 এপ্রিল তা প্রকাশ এবং পরবর্তী প্রতিকারের পদক্ষেপগুলোকে সরাসরি একই ঘটনার অংশ হিসেবে দেখানো হয়েছে।

BleepingComputer 28 এপ্রিল স্বাধীনভাবে প্রতিবেদন প্রকাশ করে জানায়, Checkmarx নিশ্চিত করেছে যে প্রকাশিত ডেটা কোম্পানিরই এবং তা একটি ব্যক্তিগত GitHub রিপোজিটরি থেকে নেওয়া হয়েছিল। প্রতিবেদনে বলা হয়, তারা 96 GB আকারের একটি প্যাকেজ দেখেছে, তবে সেটির বিষয়বস্তু পরীক্ষা করেনি।

Checkmarx-এর ভাষ্য অনুযায়ী, ঘটনাটির সূত্রপাত Trivy সাপ্লাই চেইনে হামলা থেকে, যার জন্য TeamPCP-কে দায়ী করা হয়েছে। 19 মার্চ Trivy-র ক্ষতিকর উপাদানগুলো সাপ্লাই চেইনের পরবর্তী পর্যায়ের ব্যবহারকারীদের কাছ থেকে ক্রেডেনশিয়াল সংগ্রহ করে। হামলাকারীরা সেগুলো ব্যবহার করে Checkmarx-এর GitHub পরিবেশে প্রবেশ করে। কোম্পানি 23 মার্চ অননুমোদিত প্রবেশ শনাক্ত করলেও, বেহাত হওয়া বা ক্যাশে সংরক্ষিত ক্রেডেনশিয়াল ব্যবহার করে পরবর্তী কার্যকলাপ চালানো সম্ভব হয়।

GitHub-এ অ্যাক্সেস পাওয়ায় হামলাকারীরা রিপোজিটরিতে কাজ করতে এবং নির্দিষ্ট কিছু বাহ্যিক বিতরণ চ্যানেলের মাধ্যমে ক্ষতিকর কোড প্রকাশ করতে পারে। Checkmarx প্রকাশের অনুমতি প্রত্যাহার করে, ক্রেডেনশিয়াল বদলে দেয়, হামলাকারীদের অবকাঠামোর সঙ্গে বহির্মুখী সংযোগ বন্ধ করে এবং প্রভাবিত রিপোজিটরিগুলো লক করে। কোম্পানি আইনশৃঙ্খলা রক্ষাকারী সংস্থা ও সংশ্লিষ্ট কর্তৃপক্ষকে জানায় এবং ফরেনসিক সহায়তার জন্য Mandiant-কে নিয়োগ করে।

নিশ্চিতভাবে চুরি হওয়া ডেটার ধরন হলো Checkmarx-এর GitHub রিপোজিটরি থেকে বাইরে নেওয়া রিপোজিটরি ডেটা। সোর্স কোড, কনফিগারেশন, ডকুমেন্টেশন, ক্রেডেনশিয়াল বা অন্যান্য ফাইল, এই বিভাগগুলোতে ভাগ করে কনটেন্টের বিস্তারিত তালিকা কোম্পানি প্রকাশ করেনি। 30 মার্চ ডেটা চুরি করে বাইরে নেওয়া এবং 25 এপ্রিল তা প্রকাশের বিষয়টি নিশ্চিত হয়েছে, তবে চূড়ান্ত আনুষ্ঠানিক হালনাগাদে প্যাকেজের আকার বা ভেতরের ফাইলের ধরন অনুযায়ী পরিমাণ জানানো হয়নি।

Checkmarx জানিয়েছে, তাদের GitHub রিপোজিটরিগুলো গ্রাহকদের প্রোডাকশন পরিবেশ থেকে আলাদা এবং স্বাভাবিক কার্যপদ্ধতিতে সেখানে গ্রাহকের ডেটা রাখা হয় না। Mandiant-এর সম্পন্ন পর্যালোচনা নিশ্চিত করেছে যে হামলাকারীরা Checkmarx One SaaS-এ প্রবেশ করতে পারেনি এবং AWS প্রোডাকশন পরিবেশ প্রভাবিত হয়নি। তাই গ্রাহকদের সোর্স কোড, স্ক্যানের ফলাফল ও SaaS ডেটা এই রেকর্ডে অন্তর্ভুক্ত ডেটার ধরনের মধ্যে নেই।

আনুষ্ঠানিক সারসংক্ষেপ অনুযায়ী, মার্চের হামলার পর্যায়ে ক্ষতিকর GitHub Actions এবং Open VSX-এ ক্ষতিকর VS Code এক্সটেনশন প্রকাশ করা হয়েছিল। 22 এপ্রিলের দ্বিতীয় পর্যায়ে Checkmarx KICS Docker ইমেজ, Checkmarx AST GitHub Action এবং VS Code ও Open VSX-এ থাকা AST Results ও Developer Assist এক্সটেনশনের চিহ্নিত সংস্করণগুলো প্রভাবিত হয়। আগে প্রকাশিত যেসব সংস্করণ নিরাপদ বলে জানা ছিল, সেগুলো প্রতিস্থাপন করা হয়নি। ঝুঁকি নির্দিষ্ট প্রকাশকালেই সীমাবদ্ধ ছিল।

9 মে একটি বাহ্যিক সার্ভিস অ্যাকাউন্ট থেকে Jenkins Marketplace-এ পরিবর্তিত Checkmarx Jenkins AST প্লাগইন প্রকাশ করা হয়; কোম্পানি ক্ষতিকর পরিবর্তনমুক্ত রিলিজ ও হ্যাশ সরবরাহ করে। সাপ্লাই চেইনে এসব প্রভাবের কারণে, যেসব তৃতীয় পক্ষের ডেভেলপমেন্ট পরিবেশে প্রভাবিত সফটওয়্যার উপাদানগুলো চালানো হয়েছিল, সেখান থেকে টোকেন, কী, কনফিগারেশন ফাইল বা অন্যান্য গোপন তথ্য চুরি হয়ে থাকতে পারে। মোট কতবার ডাউনলোড হয়েছে বা সাপ্লাই চেইনের পরবর্তী পর্যায়ের কতটি পরিবেশে প্রকৃতপক্ষে অনুপ্রবেশ ঘটেছে, তার যাচাইকৃত সংখ্যা Checkmarx প্রকাশ করেনি।

Mandiant-এর চূড়ান্ত অনুসন্ধান অনুযায়ী, হামলাকারীদের কার্যকলাপ Checkmarx-এর GitHub পরিবেশ, সীমিতসংখ্যক সংক্রমিত ওয়ার্কস্টেশন এবং Checkmarx-এর AWS ক্রেডেনশিয়াল সম্পর্কে প্রাথমিক অনুসন্ধানের মধ্যে সীমাবদ্ধ ছিল। AWS প্রোডাকশন পরিবেশ প্রভাবিত হয়নি, Checkmarx One SaaS-এ কোনো প্রবেশ ঘটেনি এবং GitHub পরিবেশ থেকে ক্ষতিকর কোড সরিয়ে ফেলা হয়েছে। Checkmarx-এর ভেতরে সর্বশেষ কার্যকলাপ দেখা যায় 22 এপ্রিল।

CxSAST অন-প্রিমাইসেস পণ্য ও ইনস্টলারে অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন ঘটেনি; ঝুঁকি ছিল বাহ্যিকভাবে বিতরণ করা উপাদানগুলো নিয়ে। যেসব প্রতিষ্ঠান নির্দিষ্ট প্রকাশকালের মধ্যে প্রভাবিত কোনো সফটওয়্যার উপাদান চালিয়েছিল, তাদের তখনও নিজস্ব পরিবেশ পরীক্ষা করা, অনুপ্রবেশের নির্দেশক খোঁজা এবং অনুপ্রবেশের সন্দেহ হলে গোপন তথ্য বদলে ফেলা প্রয়োজন ছিল। এই রেকর্ড Checkmarx-এর করপোরেট তথ্য ফাঁস নিশ্চিত করে, তবে প্রত্যেক Checkmarx গ্রাহকের তথ্যও স্বয়ংক্রিয়ভাবে ফাঁস হয়েছে, এমন দাবি করে না।

প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন সর্বপ্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। যাচাইকৃত চুরি হওয়া ডেটা হলো GitHub রিপোজিটরি ডেটা। ক্ষতিকর ডেভেলপার সফটওয়্যার উপাদানগুলোকে একই প্রাথমিক অনুপ্রবেশের ফলে সাপ্লাই চেইনের পরবর্তী পর্যায়ে পড়া প্রভাব হিসেবে বর্ণনা করা হয়েছে।

কতজন ব্যক্তি বা কতটি রেকর্ড প্রভাবিত হয়েছে, তার যাচাইযোগ্য মোট সংখ্যা প্রতিষ্ঠানটি প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। LAPSUS$-কে দায়ী করার দাবি এবং 96 GB প্যাকেজের পরিমাণ স্বাধীন প্রতিবেদনে এসেছে, কিন্তু Checkmarx সেগুলোকে ডেটার ধরনের চূড়ান্ত বিবরণ বা ব্যক্তির মোট সংখ্যা হিসেবে গ্রহণ করেনি। তাই এগুলো সংখ্যাসংক্রান্ত ফিল্ডে অন্তর্ভুক্ত করা হয়নি। গ্রাহকদের প্রোডাকশন ডেটা ও Checkmarx One SaaS নিশ্চিত হওয়া ঘটনার আওতার বাইরে রয়েছে।