Ataque a Checkmarx: Imágenes Docker de KICS y extensiones comprometidas

El panorama de la ciberseguridad en 2026 ha alcanzado un punto de inflexión crítico, donde las herramientas diseñadas para protegernos se han convertido en el vector de ataque más letal. El reciente ataque a Checkmarx, identificado plenamente el 22 de abril de 2026, representa una de las operaciones de envenenamiento de la cadena de suministro más sofisticadas de la década. Esta campaña no solo comprometió repositorios oficiales en Docker Hub, sino que extendió sus tentáculos hasta el entorno de desarrollo integrado (IDE) de miles de ingenieros a través de extensiones maliciosas en el VS Code Marketplace.

Lo que hace que este ataque a Checkmarx sea particularmente alarmante es su enfoque quirúrgico en el ecosistema KICS (Keeping Infrastructure as Code Secure). KICS es la piedra angular para muchas empresas que buscan asegurar su Infraestructura como Código (IaC), analizando archivos de Terraform, Kubernetes y CloudFormation en busca de vulnerabilidades. Al corromper esta herramienta, los atacantes obtuvieron una “llave maestra” para visualizar los planos arquitectónicos de miles de entornos de nube, exponiendo credenciales incrustadas y configuraciones críticas de red.

Anatomía del envenenamiento en Docker Hub: El fin de la confianza en las etiquetas

El primer frente de batalla en este ataque a Checkmarx se libró en Docker Hub. Los actores de amenazas lograron vulnerar la cuenta oficial de checkmarx/kics, ejecutando una maniobra de sobrescritura de etiquetas (tags) que desafía las prácticas comunes de seguridad. En lugar de simplemente subir una versión nueva y sospechosa, los atacantes reemplazaron las imágenes existentes de las versiones v2.1.20 y la etiqueta alpine, que son ampliamente utilizadas en pipelines de CI/CD automatizados.

Además, introdujeron una versión fraudulenta etiquetada como v2.1.21. Para un desarrollador distraído o un sistema automatizado configurado para “la última versión estable”, esta actualización parecía un parche rutinario. Sin embargo, el interior de estas imágenes contenía un binario de KICS modificado maliciosamente. Los detalles técnicos revelan lo siguiente:

• Modificación del Binario: El ejecutable de KICS fue alterado para incluir una rutina de telemetría no autorizada que se activa durante cada escaneo.
• Exfiltración Silenciosa: El binario recolecta los reportes de escaneo de IaC completos. Estos reportes, que normalmente detallan fallos de seguridad, en este caso fueron interceptados antes de ser entregados al usuario.
• Cifrado de Datos: Para evadir los sistemas de detección de intrusiones (IDS) basados en red, el malware cifra los reportes antes de enviarlos a un endpoint externo controlado por los atacantes.

El peligro reside en que los reportes de KICS a menudo contienen “falsos positivos” que en realidad son secretos reales: llaves de API, cadenas de conexión a bases de datos y tokens de acceso que los desarrolladores aún no han saneado. Al obtener estos reportes, el atacante no solo sabe dónde están las debilidades, sino que ya posee las llaves para explotarlas.

El impacto en los flujos de CI/CD

Debido a que muchas empresas utilizan el ataque a Checkmarx para automatizar sus auditorías de seguridad, la propagación fue instantánea. Un pipeline de Jenkins o GitHub Actions que hiciera un simple docker pull checkmarx/kics:latest o checkmarx/kics:alpine estaba, de hecho, descargando una herramienta de espionaje directamente en su infraestructura de construcción. Esto permitió a los atacantes mapear redes internas de AWS, Azure y Google Cloud Platform desde el corazón mismo del proceso de desarrollo.

Infiltración en VS Code: El caballo de Troya en el escritorio del desarrollador

Si el compromiso de Docker Hub fue el ataque a la infraestructura, la infiltración en el VS Code Marketplace fue el ataque al individuo. Los investigadores de seguridad identificaron que versiones específicas de las extensiones checkmarx/cx-dev-assist (v1.17.0 y v1.19.0) y checkmarx/ast-results (v2.63.0 y v2.66.0) fueron inyectadas con código malicioso de múltiples etapas.

Este componente del ataque a Checkmarx es notable por su uso de una técnica de “mascarada tecnológica”. Tras la activación de la extensión, el sistema descarga un payload remoto desde una URL de GitHub bajo el nombre mcpAddon.js. El nombre hace referencia al Model Context Protocol (MCP), un estándar emergente para la comunicación entre agentes de IA y sistemas externos. Al disfrazar el malware como una característica legítima de IA agentica, los atacantes lograron pasar desapercibidos ante los equipos de auditoría interna que esperaban ver nuevas funciones relacionadas con IA en las herramientas de Checkmarx.

Análisis técnico del payload mcpAddon.js

El payload utiliza el runtime de Bun para su ejecución, lo que le permite una velocidad y versatilidad superiores en entornos Windows y Unix. Una vez ejecutado, el malware realiza las siguientes acciones de manera secuencial:

1. Recolección de Tokens: Busca activamente tokens de autenticación de GitHub y credenciales de npm almacenadas en archivos de configuración local (como .npmrc y .git-credentials).
2. Escaneo de Credenciales de Nube: Accede a las bases de datos de credenciales de AWS, Azure y GCP, así como a las configuraciones de herramientas de IA como Claude y OpenAI.
3. Persistencia: Instala un servicio de fondo que verifica cada 50 minutos si hay nuevos payloads o instrucciones desde el servidor de comando y control (C2).

La exfiltración de estos datos se realiza hacia un dominio que imita la infraestructura legítima de la empresa: audit.checkmarx[.]cx/v1/telemetry. Este uso de un subdominio plausible es una táctica clásica de ingeniería social técnica para engañar a los administradores de red que monitorean los logs de tráfico DNS.

Propagación tipo gusano: Del robo de tokens al envenenamiento global

Lo que diferencia a este incidente de un robo de datos común es su capacidad de propagación autónoma. El ataque a Checkmarx utiliza los tokens de GitHub robados para inyectar flujos de trabajo (workflows) maliciosos en los repositorios de la víctima. Estos flujos de trabajo están diseñados para capturar secretos adicionales disponibles durante la ejecución de las acciones de GitHub y subirlos como artefactos ocultos.

Aún más devastador es el abuso de las credenciales de npm. El malware identifica los paquetes de software que el desarrollador tiene permisos para publicar y procede a republicar versiones maliciosas de dichos paquetes (hasta 250 paquetes por víctima han sido reportados). Esto crea un efecto dominó: cualquier usuario que dependa de esos paquetes de npm ahora se convierte en una nueva víctima, expandiendo el ataque a Checkmarx de forma exponencial a través de la red global de software de código abierto.

Atribución y el vínculo con TeamPCP

Expertos en inteligencia de amenazas han vinculado estas tácticas con un grupo conocido como TeamPCP. Este mismo actor estuvo detrás de ataques similares contra la herramienta Trivy de Aqua Security y la biblioteca LiteLLM a principios de 2026. La metodología de “saltar” de una herramienta de seguridad a otra sugiere que el grupo posee un profundo conocimiento de las interdependencias en la cadena de suministro de software moderna. Su objetivo parece ser la creación de una red masiva de acceso persistente en entornos corporativos de alto nivel.

Medidas de mitigación y respuesta ante incidentes

Para las organizaciones que han integrado herramientas de Checkmarx en sus flujos de trabajo, la respuesta debe ser inmediata y exhaustiva. No basta con eliminar la imagen de Docker o desinstalar la extensión de VS Code. El ataque a Checkmarx debe tratarse como una exposición completa de credenciales.

Protocolo de emergencia recomendado:

• Verificación de Imágenes Docker: Revertir inmediatamente a etiquetas verificadas o, preferiblemente, utilizar el hash SHA-256 específico de una versión conocida como segura (v2.1.19 o anterior para KICS).
• Auditoría de Extensiones: Desinstalar las versiones afectadas de cx-dev-assist y ast-results. Se recomienda limpiar los directorios de extensiones de VS Code para eliminar cualquier rastro del archivo mcpAddon.js.
• Rotación Masiva de Credenciales: Se deben rotar todos los tokens de GitHub, llaves de API de npm, credenciales de proveedores de nube y llaves SSH que hayan estado presentes en máquinas de desarrollo o en runners de CI/CD durante el periodo del ataque.
• Revisión de Repositorios: Inspeccionar los archivos en .github/workflows/ en busca de modificaciones no autorizadas o la creación de nuevos repositorios públicos bajo la cuenta de la organización.

Además, es imperativo monitorear el uso de Bun en sistemas donde no se espera su presencia, ya que el malware depende de este runtime para sus operaciones de exfiltración y persistencia.

Hacia un nuevo paradigma de seguridad en la cadena de suministro

El ataque a Checkmarx de abril de 2026 es un recordatorio doloroso de que la “seguridad por confianza” ha muerto. Ya no podemos asumir que una imagen es segura solo porque proviene de un repositorio “oficial”. La industria debe avanzar hacia modelos de verificación de integridad continua.

Esto incluye la implementación de firmas digitales (como Sigstore/Cosign) para cada contenedor y el uso de herramientas de análisis estático que no solo busquen vulnerabilidades en el código del usuario, sino que también verifiquen la legitimidad de sus propios componentes. La transparencia en la cadena de suministro, a través de la adopción generalizada de Software Bill of Materials (SBOM), se vuelve obligatoria para sobrevivir en un ecosistema donde los defensores son el blanco principal.

En conclusión, el ataque a Checkmarx no es solo un incidente aislado, sino una advertencia de la evolución de las amenazas persistentes. La protección del SDLC (Ciclo de Vida de Desarrollo de Software) requiere ahora una vigilancia que vaya más allá de las herramientas, analizando el comportamiento de las herramientas mismas en busca de cualquier desviación que pueda indicar que el guardián ha sido corrompido.