Trivy unter Angriff Lieferkette legt Anmeldeinformationen in Pipelines

Vor wenigen Tagen erhielt die Community von Entwicklern und Sicherheitsteams eine störende Nachricht: Der beliebte Sicherheitsscanner Trivy wurde als Vektor in einem Supply Chain-Angriff verwendet. Forscher und das Projekt selbst bestätigten, dass eine offizielle Version der Software und mehrere damit verbundene GitHub-Aktionen geschnitten wurden, um eine Malware, die zum stehlen von Anmeldeinformationen und weiterhin in kompromittierten Systemen.

Die erste Entdeckung kam vom Forscher Paul McCarty, die über eine Backdoor-Version von Trivy (v0.69.4). Anschließende technische Analyse spezialisierter Gruppen, einschließlich Sockel und WEITER, sie detailliert, wie die Angreifer nicht nur einen Binär in der Veröffentlichung veröffentlichten, sondern auch den Bauprozess in GitHub Aktionen beeinträchtigten und die Repository-Labels veränderten aquasecurity / trivy-action, umleiten fast alle Version Tags zu schädlichen Verpflichtungen.

Nach Angaben der Forscher, der verantwortliche Schauspieler (verknüpft an eine Gruppe bekannt als TeamPCP, auch als DeadCatx3 oder PCPcat zurückverfolgt) explodierte Anmeldeinformationen, die in einem früheren Vorfall im März ausgefiltert worden waren. Mit dem schriftlichen Zugriff auf das Repository zwangen die Angreifer Aktualisierungen: Insbesondere wurde berichtet, dass 75 von 76 Tags der Repository-Trivy-Aktion neu geschrieben wurden, so dass externe Ströme, die auf diese Tags, die bösartigen Code ausgeführt wurden, vor der Durchführung der legitimen Analyse von Trivy.

Die angezeigte Probe fungierte als Infostealer, um Geheimnisse zu lokalisieren. In CI / CD-Umgebungen verfolgte das schädliche Skript Runnererkennungsinformationen und gescannte Speicherbereiche des GitHub Actions Runners. Worker-Prozess auf der Suche nach JSON-Ketten, die Geheimnisse definiert (Patern des Typs, der "isSecret" enthält: true). In Entwicklermaschinen haben die gechipten binären gesammelten Umgebungsvariablen lokale Dateien für Anmeldeinformationen und gelistete Netzwerkschnittstellen untersucht. Analyse zeigt, dass Malware auf der Suche nach SSH-Keys, Git-Konfigurationsdateien, Cloud-Service-Tokens (AWS, GCP, Azure), .env-Dateien, Datenbank-Anmeldeinformationen, CI / CD-Einstellungen wie Jenkins oder Terraform, TLS-Keys, Shell Histories und sogar Kryptomoneda-Portfolios.

Die gesammelten Daten wurden in einer Datei gespeichert und verschlüsselt tpcp.tar.gz dann versuchen, es auf einen Befehl zu exfiltrieren und Server mit einer absichtlich typosquat-Domain zu steuernscan.aquasecurtiy [.] org. Wenn direkte Exfiltration fehlgeschlagen, Malware verwendet eine geniale Fluchtroute: es erstellt ein öffentliches Repository im GitHub-Konto des Opfers genannt tpcp-docs Und er würde die gestohlenen Daten dort oben bekommen. Um lokale Beharrlichkeit zu erreichen, gab es auch eine Nutzlast in~ / .config / systemd / user / sysmon. Hefeund aufgezeichnet es als Systemdienst, der Remote konsultierte, um zusätzliche Lasten herunterzuladen.

Ein direkter Track im Code selbst erlaubte den Analyseteams, die Kampagne mit TeamPCP zu verknüpfen: Eine der Python-Payloads enthielt einen abschließenden Kommentar, dass selbst identifiziert als "TeamPCP Cloud Steler", und Taktiken, die von schlecht gestalteten Infrastrukturen oder gestohlenen Token profitieren, passen in Aktivitäten, die für diesen Schauspieler bereits dokumentiert sind, so Socket-Forscher. Die Aqua Security-Teams bestätigten öffentlich, dass die Störung möglich war, weil die Eindämmung des vorherigen Vorfalls unvollständig war und dass, obwohl Geheimnisse gedreht wurden, der Prozess nicht garantieren konnte, dass die erneuerten Token nicht abgefangen wurden. Die Erklärung der Organisation findet sich in ihrer offiziellen Diskussion in GitHub: Aqua Security - Diskussion.

Wie bei temporären Fenstern war die schädliche Freisetzung von Trivy (v0.69.4) für ca. drei Stunden öffentlich verfügbar, während die kompromittierten Tags von GitHub Actions in einigen Fällen bis zu zwölf Stunden aktiv blieben, ausreichend Zeit für zahlreiche Pipelines, um den Code ungewollt auszuführen. In Anbetracht dessen waren die Empfehlungen der forensischen Teams stark: Die Organisationen, die die betroffenen Versionen während der Zwischenzeit genutzt haben, sollten berücksichtigt werden voll engagiert, drehen sofort alle Tasten, Token und Passwörter, und führen umfassende Systemanalyse, um Seitenbewegungen oder dauerhafte Präsenz zu erkennen.

Der Umfang des Problems war nicht auf Trivy beschränkt. Forschung Aikido den gleichen Schauspieler mit einer sekundären Kampagne verbunden, basierend auf einem selbstreplikierenden Wurm genannt Ich bin hier. die das npm-Ökosystem angreift. Dass Malware stiehlt npm Tokens und automatisiert die Veröffentlichung von schädlichen Updates in kompromittierten Benutzerpaketen, Verbreitung extrem schnell: in Tests wurde beobachtet, wie es wieder Projekte und veröffentlichte Lasten in Dutzenden von Paketen in weniger als einer Minute. Für die Verteilung von zusätzlichen Lasten verwendet es einen dedizierten Tropfmechanismus auf Basis von Internet Computer (ICP) Kanistern, wodurch die Kontroll- und Kontrollinfrastruktur störend ist, da diese Kanister nur von ihrem Controller über einen Netzwerk-Governance-Prozess entfernt werden können. Weitere technische Details zu diesem Vektor sind in der Aikido-Analyse und im PCI-Kanisterpanel erhältlich: Internet Computer - Kanister.

Die Kampagne kombiniert zwei gefährliche Trends, die wir in den letzten Jahren gesehen haben: Das bevorzugte Opfer sind Werkzeuge, die oft in Pipelines und Entwicklungsumgebungen ausgeführt werden - d.h. Punkte mit Zugang zu sensiblen Geheimnissen - und die Verwendung dezentraler oder unkonventioneller Infrastruktur, um den Betrieb des Angreifers zu verbergen und zu stärken. Das Ergebnis ist ein Angriff, der während der Ausführungsphase unsichtbar bleiben kann (weil die gechipten Binärläufe als Teil des legitimen Workflows) und schnell zu anderen Repositorien oder Paketen klettern kann, sobald es gültige Token erhält.

Wenn Sie Pipelines, Repositories oder Cloud-Umgebungen verwalten, sollten mehrere Aktionen sofort ergriffen werden. Prüfen Sie, ob Ihre Organisation Trivy v0.69.4 oder Hinweise auf kompromittierte Tags des Trivy-Action-Repositorys während der angegebenen Fenster lief. Revolviert und veröffentlicht Anmeldeinformationen und Token, nicht nur in Cloud-Diensten, sondern auch in Paketmanagern und GitHub-Konten. Audits Läufer und Entwicklungsmaschinen für Persistenz (z.~ / .config / systemd / user / sysmon. Hefeoder andere unbekannte Dienstleistungen), auf der Suche nach öffentlichen Repositories genannt Ähnlichkeiten mit tpcp-docs in eigenen oder Partnerkonten und analysiert Log, um ungewöhnliche Exfiltrationen oder Zugriffe zu identifizieren. Die Analyseberichte sind zur Minderungsführung und zusätzlichen technischen Informationen verfügbar: Sockel, der Blog von WEITER und die Diskussion Aqua Sicherheit.

Dieser Vorfall betont erneut, dass Sicherheitswerkzeuge auch wertvolle Ziele für Angreifer sind: ihre Präsenz in Pipelines und ihre Fähigkeit, auf Artefakte oder Geheimnisse zuzugreifen, machen sie privilegierte Vektoren, wenn sie Kompromisse eingehen. Die Einhaltung atomarer und überprüfbarer Prozesse für die Schlüsseldrehung, die Anwendung von Gerätesignatur und Reproduzierbarkeit in Gebäuden, die Isolierung von Läufern und die Minimierung der Verwendung von weitreichenden Anmeldeinformationen in Rohrleitungen sind Maßnahmen, die das Risiko reduzieren, aber nicht die Notwendigkeit einer schnellen Reaktion und sorgfältigen Annahme von Engagement beseitigen, wenn solche Lücken auftreten.

Für diejenigen, die die ursprünglichen Analysen vertiefen wollen, sind hier die in diesem Bericht genannten technischen Quellen: Paul McCartys erste Mitteilung in LinkedIn ( Gliederung), die Socketanalyse ( Gliederung), der Wiz-Bericht ( Gliederung), die offizielle Diskussion über Aqua Security in GitHub ( Gliederung) und die Analyse von Aikido's CanisterWorm ( Gliederung)