Checkmarx GitHub आपूर्ति शृंखला 2026 में डेटा सेंध

Checkmarx के समेकित घटना विवरण पृष्ठ को 6 जुलाई को अपडेट किया गया था। उसके अनुसार, Mandiant की सहायता से की गई जाँच और सुरक्षा मज़बूत करने का काम पूरा हो चुका था तथा घटना को पूरी तरह नियंत्रित कर लिया गया था। कंपनी की आधिकारिक समयरेखा शुरुआती पहुँच, दुर्भावनापूर्ण आर्टिफ़ैक्ट, 30 मार्च को डेटा बाहर निकाले जाने, 25 अप्रैल को उसके प्रकाशन और बाद में उठाए गए प्रतिक्रिया कदमों को सीधे एक ही घटना के हिस्सों के रूप में जोड़ती है।

BleepingComputer ने 28 अप्रैल को अपनी स्वतंत्र रिपोर्ट में बताया कि Checkmarx ने पुष्टि की थी कि प्रकाशित डेटा कंपनी का था और एक निजी GitHub रिपॉज़िटरी से आया था। रिपोर्ट में कहा गया कि उसने 96 GB का एक पैकेज देखा था, लेकिन उसकी सामग्री की जाँच नहीं की थी।

Checkmarx के अनुसार, इस घटना की शुरुआत Trivy पर हुए आपूर्ति शृंखला हमले से हुई, जिसके लिए TeamPCP को ज़िम्मेदार बताया गया। 19 मार्च को दुर्भावनापूर्ण Trivy घटकों ने उनका इस्तेमाल करने वाले उपयोगकर्ताओं के क्रेडेंशियल जुटाए, और हमलावरों ने उन्हीं क्रेडेंशियल का इस्तेमाल करके Checkmarx के GitHub परिवेश में प्रवेश किया। कंपनी को 23 मार्च को अनधिकृत पहुँच का पता चला, लेकिन जिन क्रेडेंशियल की सुरक्षा भंग हो चुकी थी या जो कैश में मौजूद थे, उनसे बाद की गतिविधियाँ संभव हुईं।

GitHub तक पहुँच मिलने से हमलावर रिपॉज़िटरी में गतिविधियाँ कर सके और कुछ बाहरी वितरण माध्यमों से दुर्भावनापूर्ण कोड प्रकाशित कर सके। Checkmarx ने प्रकाशन की अनुमतियाँ रद्द कीं, क्रेडेंशियल बदले, हमलावरों के बुनियादी ढाँचे तक जाने वाला नेटवर्क एक्सेस रोका और प्रभावित रिपॉज़िटरी लॉक कीं। उसने कानून प्रवर्तन एजेंसियों और संबंधित प्राधिकारियों को सूचित किया तथा फ़ॉरेंसिक सहायता के लिए Mandiant की सेवाएँ लीं।

पुष्टि किए गए डेटा की श्रेणी Checkmarx की GitHub रिपॉज़िटरी से बाहर निकाला गया रिपॉज़िटरी डेटा है। कंपनी ने सार्वजनिक रूप से ऐसी विस्तृत सूची नहीं दी जिसमें सामग्री को सोर्स कोड, कॉन्फ़िगरेशन, दस्तावेज़ों, क्रेडेंशियल या अन्य फ़ाइलों में बाँटा गया हो। 30 मार्च को डेटा बाहर निकाले जाने और 25 अप्रैल को उसके प्रकाशन की पुष्टि हुई है, लेकिन अंतिम आधिकारिक अपडेट में पैकेज का आकार या उसके भीतर की फ़ाइल श्रेणियों की मात्रा नहीं बताई गई।

Checkmarx ने कहा कि उसकी GitHub रिपॉज़िटरी ग्राहक प्रोडक्शन परिवेश से अलग हैं और सामान्य प्रक्रिया के तहत ग्राहक डेटा वहाँ नहीं रखा जाता। Mandiant की पूरी हो चुकी समीक्षा ने पुष्टि की कि हमलावरों को Checkmarx One SaaS तक पहुँच नहीं मिली और AWS प्रोडक्शन परिवेश प्रभावित नहीं हुआ। इसलिए ग्राहक सोर्स कोड, स्कैन परिणाम और SaaS डेटा इस रिकॉर्ड में शामिल डेटा श्रेणियाँ नहीं हैं।

आधिकारिक सारांश के अनुसार, मार्च के हमलों के दौर में दुर्भावनापूर्ण GitHub Actions और Open VSX पर VS Code एक्सटेंशन प्रकाशित किए गए। 22 अप्रैल को हमलों के दूसरे दौर में Checkmarx KICS Docker इमेज, Checkmarx AST GitHub Action तथा VS Code और Open VSX पर AST Results और Developer Assist एक्सटेंशन के कुछ चिन्हित संस्करण प्रभावित हुए। पहले से प्रकाशित, सुरक्षित माने गए संस्करणों को ओवरराइट नहीं किया गया, और जोखिम प्रकाशन की निर्धारित समयावधियों तक सीमित था।

9 मई को एक बाहरी सेवा खाते ने Jenkins Marketplace पर संशोधित Checkmarx Jenkins AST प्लगइन प्रकाशित किया; कंपनी ने दुर्भावनापूर्ण बदलावों से मुक्त रिलीज़ और हैश उपलब्ध कराए। आपूर्ति शृंखला पर इन प्रभावों का अर्थ है कि प्रभावित आर्टिफ़ैक्ट चलाने वाले तृतीय-पक्ष डेवलपर परिवेशों से टोकन, कुंजियाँ, कॉन्फ़िगरेशन फ़ाइलें या अन्य गुप्त जानकारी चोरी हुई हो सकती है। Checkmarx ने डाउनलोड की कुल संख्या या वास्तव में सेंध का शिकार हुए इन उपयोगकर्ता परिवेशों की कुल संख्या की पुष्टि करने वाला कोई आँकड़ा प्रकाशित नहीं किया।

Mandiant के अंतिम निष्कर्षों के अनुसार, हमलावरों की गतिविधियाँ Checkmarx के GitHub परिवेश, सीमित संख्या में संक्रमित वर्कस्टेशन और Checkmarx के AWS क्रेडेंशियल की शुरुआती टोह तक सीमित थीं। AWS प्रोडक्शन परिवेश प्रभावित नहीं हुआ, Checkmarx One SaaS तक कोई पहुँच नहीं हुई और GitHub परिवेश से दुर्भावनापूर्ण कोड हटा दिया गया। Checkmarx के भीतर आखिरी बार देखी गई गतिविधि 22 अप्रैल को हुई थी।

स्थानीय सर्वर पर चलने वाले CxSAST उत्पाद और उसके इंस्टॉलर में सेंध नहीं लगी थी; जोखिम बाहरी माध्यमों से वितरित घटकों से जुड़ा था। जिन संगठनों ने किसी प्रभावित आर्टिफ़ैक्ट को उसके प्रकाशन की संबंधित समयावधि में चलाया था, उन्हें अब भी अपने परिवेश की जाँच करनी थी, सेंध के संकेत तलाशने थे और सेंध का संदेह होने पर गुप्त जानकारी बदलनी थी। यह रिकॉर्ड Checkmarx के कॉर्पोरेट डेटा में सेंध की पुष्टि करता है, लेकिन यह दावा नहीं करता कि हर Checkmarx ग्राहक अपने-आप डेटा सेंध का शिकार हुआ।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है। जिस डेटा की चोरी की पुष्टि हुई है, वह GitHub रिपॉज़िटरी डेटा है। दुर्भावनापूर्ण डेवलपर आर्टिफ़ैक्ट को उसी शुरुआती अनधिकृत पहुँच के कारण आगे की आपूर्ति शृंखला पर पड़े प्रभाव के रूप में वर्णित किया गया है।

संगठन ने प्रभावित व्यक्तियों या रिकॉर्ड की ऐसी कुल संख्या प्रकाशित नहीं की जिसकी पुष्टि की जा सके। संख्या का खुलासा न होने का अर्थ यह नहीं है कि घटना का कोई प्रभाव नहीं पड़ा; इसका अर्थ है कि सार्वजनिक स्रोत कोई विश्वसनीय कुल संख्या नहीं देते। हमले को LAPSUS$ से जोड़ने का दावा और 96 GB पैकेज का आँकड़ा स्वतंत्र रिपोर्टों में आए हैं, लेकिन Checkmarx ने उन्हें निर्णायक डेटा श्रेणी या व्यक्तियों की कुल संख्या के रूप में स्वीकार नहीं किया। इसलिए उन्हें संख्यात्मक फ़ील्ड से बाहर रखा गया है। ग्राहक प्रोडक्शन डेटा और Checkmarx One SaaS पुष्टि किए गए दायरे से बाहर हैं।