TeamPCP скомпрометировал плагин Checkmarx Jenkins AST после атаки на цепочку поставок KICS

Компания Checkmarx подтвердила компрометацию своего плагина Jenkins AST, связанного с анализом безопасности кода, после атаки группы TeamPCP на цепочку поставок KICS. Модифицированная версия плагина была размещена в Jenkins Marketplace, что создало угрозу для многих CI/CD систем.

Кратко о произошедшем

В декабре 2025 года в Jenkins Marketplace была опубликована изменённая версия плагина Checkmarx Jenkins AST, используемого для статического анализа безопасности приложений. Компания Checkmarx заявила, что модифицированная версия плагина не соответствует оригинальному коду и содержит потенциально вредоносные изменения.

Эта компрометация произошла вскоре после масштабной атаки группы TeamPCP, которая ранее осуществила успешный взлом цепочки поставок KICS — другого популярного инструмента для сканирования инфраструктуры.

Почему это важно

Jenkins — одна из самых популярных платформ для автоматизации CI/CD процессов. Плагины, такие как Checkmarx Jenkins AST, интегрируются в пайплайны для обеспечения безопасности кода и предотвращения попадания уязвимостей в продуктив.

Компрометация такого плагина может привести к:

• инъекциям вредоносного кода в процессе сборки;
• утечкам данных и секретов;
• нарушению целостности и доверия к DevSecOps процессам;
• техническим и репутационным потерям для компаний.

Контекст и связь с атакой на KICS

Группа TeamPCP, ранее атаковавшая KICS, использовала методы компрометации цепочки поставок, внедряя вредоносные изменения в официальные репозитории и дистрибутивы. Это позволяет атакующим получить доступ к инфраструктурам компаний, использующих заражённые инструменты.

Похожий сценарий реализован и в случае с плагином Checkmarx Jenkins AST, что указывает на системный подход злоумышленников к подрыву доверия к инструментам безопасности.

Последствия для инженеров безопасности и DevOps

Если вы используете плагин Checkmarx Jenkins AST, необходимо проверить версию и обновить её до безопасной. Checkmarx официально рекомендует использовать версию 2.0.13-829.vc72453fa_1c16 или более раннюю, опубликованную до 17 декабря 2025 года.

Безопасность CI/CD становится критическим элементом общей защиты, поэтому важно:

• регулярно проверять источники плагинов и их целостность;
• следить за официальными заявлениями производителей;
• внедрять мониторинг и аудит цепочек поставок;
• обновлять инструменты своевременно, избегая неподтверждённых версий.

Практические рекомендации

• Проверьте версию плагина Checkmarx Jenkins AST в вашей Jenkins-среде и обновите до безопасной версии, если используете более позднюю.
• Внедрите процессы проверки цифровых подписей и хэш-сумм для загружаемых компонентов.
• Мониторьте логи и поведение CI/CD на признаки необычной активности, связанной с плагинами безопасности.
• Обучайте команды DevOps и безопасности про актуальные угрозы цепочек поставок и методы их предотвращения.

Сводка действий для проверки и защиты

• Убедитесь, что версия плагина соответствует безопасной (2.0.13-829.vc72453fa_1c16 или ранее).
• Проверьте журналы установки и обновлений плагинов.
• Ограничьте доступ к внешним репозиториям плагинов.
• Применяйте многослойную защиту CI/CD (сегментация, аутентификация, аудит).
• Поддерживайте связь с производителем для получения актуальной информации.

Вопросы и ответы

Что произошло с плагином Checkmarx Jenkins AST?

В Jenkins Marketplace была опубликована изменённая версия плагина, скомпрометированная группой TeamPCP, что может привести к безопасности рискам в CI/CD процессах.

Кто такая группа TeamPCP?

TeamPCP — известная хакерская группа, специализирующаяся на атаках на цепочки поставок программного обеспечения для массового распространения вредоносного кода.

Как узнать, использую ли я уязвимую версию плагина?

Проверьте в Jenkins Marketplace или в вашей системе версию плагина. Безопасной считается версия 2.0.13-829.vc72453fa_1c16 или ранее, выпущенная до 17 декабря 2025 года.

Что делать, если у меня установлена скомпрометированная версия?

Немедленно обновите до безопасной версии или полностью удалите плагин, если обновления недоступны. Проведите аудит безопасности CI/CD и проверьте логи на признаки компрометации.

Как защититься от подобных атак в будущем?

Что делать, если вы используете другие инструменты, похожие на KICS или Checkmarx?

Следите за обновлениями от разработчиков, проверяйте целостность компонентов и внедряйте мониторинг безопасности цепочек поставок для минимизации рисков.