資安公司Checkmarx再傳遭供應鏈攻擊，Jenkins AST外掛被竄改
攻擊事件概述
資安公司Checkmarx近期再次遭遇到供應鏈攻擊，導致其基礎架構掃描工具KICS的Docker映像檔、以及開發的Visual Studio Code（VS Code）延伸套件遭駭。此事件是繼3月下旬TeamPCP駭客團體攻擊Checkmarx基礎設施與IaC掃描工具KICS後，持續擴大的攻擊活動。
攻擊範圍與影響
- Checkmarx的KICS掃描工具Docker映像檔遭竄改，可能導致使用者系統被植入惡意程式碼。
- Checkmarx開發的VS Code延伸套件（如Checkmarx與Checkmarx相關套件）遭駭，可能影響開發流程與安全性。
- 攻擊者亦發布惡意版本的Bitwarden CLI套件（NPM套件），顯示攻擊範圍擴大至其他資安工具。
官方回應與應對
Checkmarx已發表聲明，指出其Jenkins應用程式安全測試（AST）插件的惡意版本被發布至Jenkins Marketplace，並呼籲用戶立即更新或移除相關插件，以避免潛在風險。
相關背景與技術細節
此類供應鏈攻擊透過第三方工具或服務滲透目標系統，攻擊者將惡意代碼嵌入供應商的產品或服務中，再經由合法途徑進入組織內部系統，造成嚴重安全威脅。