Wenn Etiketten gefährlich werden: Der zweite Angriff auf Trivy stellt CI / CD-Anmeldeinformationen und Geheimnisse vor

Die Software-Versorgungskette zeigte erneut ihre Fragilität, als Trivy, der beliebte Open Source Sicherheitsscanner von Aqua Security, in ein paar Wochen ein zweites Engagement erlitt, das die Verteilung von schädlichen Code ermöglichte, um Geheimnisse von CI / CD-Umgebungen zu stehlen. Der Vorfall beeinflusste das Repository so sehr aquasecurity / trivy-action, verwendet, um Trivy in GitHub-Aktionen, als eine aquasecurity / setup-trivy, die es einfacher macht, eine bestimmte Version des Scanners in Workflows einzurichten.

Laut der öffentlichen Untersuchung gelang es dem Angreifer, die meisten Versionsetiketten im offiziellen Aktionsrepository neu zu schreiben und sie auf schädliche Verpflichtungen zu verweisen, die einen in Python geschriebenen Anmeldeinformationen enthalten. Durch die Änderung der Tags, die Angreifer verwandelt angeblich zuverlässige Version Referenzen in einen Malware-Verteilung Vektor, die die Ausführung der Nutzlast innerhalb der GitHub-Aktionen Läufer und die Extraktion sensibler Informationen in diesen Umgebungen erlaubt.

Die schädliche Software wurde entwickelt, um eine breite Palette von Geheimnissen zu suchen und zu sammeln: Umgebungsvariablen, SSH-Tasten, Cloud-Lieferanten-Berechtigungen, Datenbank-Berechtigungen, Docker-Konfigurationen, Kubernetes-Token und sogar Paare von Kryptomoneda-Schlüsseln und Münzen, die mit Solana-Validatoren verbunden sind. Nach dem Sammeln dieser Informationen verschlüsselte der Code ihn und versuchte, ihn an einen vom Angreifer kontrollierten Server zu senden; als Kontingenzmechanismus versuchte die Malware, die Daten in einem öffentlichen Repository unter dem GitHub-Konto des Opfers mit einem gestohlenen Token zu veröffentlichen.

Diese Folge ist die Fortsetzung eines vorherigen Vorfalls, der eine autonome bot nicknamed hackerbot-claw, die explodierte die Aktion_ Anfrage _ Zielum einen persönlichen Zugriff auf Token (PAT) zu erhalten und dann verwendet es, um schädliche Versionen zu veröffentlichen und die Projektinfrastruktur zu ändern. Aqua Security selbst hat erkannt, dass, obwohl Geheimnisse und Token nach dieser ersten Intrusion gedreht wurden, die Eindämmung nicht vollständig war und einige engagierte Anmeldeinformationen während der neuen Manipulation aktiv bleiben konnten. Sie können mehr über die Chronologie und Antwort des Unternehmens in der offiziellen Diskussion in GitHub lesen: Kommunikation von Aqua.

Mehrere Sicherheitsfirmen haben den schädlichen Code analysiert. Die technischen Berichte weisen darauf hin, dass der Dieb in klaren Phasen arbeitet: Er sammelt zunächst sensible Daten aus dem Speicher des Läuferprozesses und des Dateisystems; dann nennt er das gestohlene Material; und versucht schließlich, es an eine Domäne zu übertragen, die vom Angreifer kontrolliert wird (in den Berichten als scan.aquasecurtiy [.] org) oder, wenn das nicht funktioniert, verwendet das erfasste Token, um die Informationen auf einen öffentlichen Speicher zu laden " Weitere Berichte und technische Beschreibungen sind auf Forschungsblogs wie Sockel, WEITER und Schritt Sicherheit.

In Bezug auf die Zuschreibung gibt es Hinweise, dass auf einen im Ökosystem bekannten Schauspieler als TeamPCP (auch durch mehrere Aliases identifiziert). Ein Teil des Codes wird "TeamPCP Cloud-Stecker" genannt und technische Elemente entsprechen früheren Tools, die der Gruppe zugeschrieben werden, obwohl Forscher darauf hinweisen, dass eine solche Selbstsekunde ein Deko sein könnte. Für einen breiteren Kontext über diese Bedrohung und ihre Taktik in Cloud-Umgebungen veröffentlichte Elastic Security Labs Referenzmaterial, das hilft, den Modus Operandi von Schauspielern wie TeamPCP zu verstehen: Technische Analyse des Elastischen.

Die Implikationen für Projekte und Geräte, die von GitHub Actions abhängen, sind klar: Verweise auf Versionen oder Labels können nicht mehr sicher sein, wenn ein Schauspieler mit gültigen Anmeldeinformationen Tags neu schreibt oder schädliche Releases veröffentlicht. Daher empfehlen Experten Vermeidung von Verankerungsaktionen auf mobile Versionsetiketten und stattdessen die komplette SHA des Commits verwenden um sicherzustellen, dass die ausgeführte Aktion genau die erwartete ist. Diese technische Empfehlung wurde von Wiz-Forschern als praktische Verteidigung gegen die Art der beobachteten Tag-Vergiftung hervorgehoben.

Wenn Sie Pipelines verwalten, die Trivy oder seine zugehörigen Aktionen verwenden würden, muss die sofortige Reaktion vorbeugend und stark sein. Aqua Security und die Firmen, die den Vorfall untersuchten, haben vorgeschlagen, dass eine sichere Version der Software (z.B. Trivy 0.69.3, Trivy-action 0.35.0 und Setup-Trivy 0.2.6 nach den Berichten) verwendet wird, um alle Geheimnisse zu behandeln, die als Verpflichtung zugänglich sind und es als Prioritätsfrage weiter drehen. Darüber hinaus kann die Blockierung der Exfiltrationsdomäne und der zugehörigen IP-Adresse auf Netzwerkebene (genannte 45.148.10 [.] 212 in den Analysen) dazu beitragen, Datenübertragungsversuche bei der Untersuchung abzumildern.

Neben reaktiven Aktionen gibt es wichtige organisatorische Lektionen: Der Prozess der Rotation von Anmeldeinformationen muss atomar und nachprüfbar sein, die Genehmigungen für Token und Automatisierungen müssen minimal durch Design, und die Sicherheitsbewertungen von Workflows müssen Kontrollen enthalten, um unerwartete Änderungen in Etiketten oder Freigaben zu erkennen. Um die Beharrlichkeit zu verstehen, die Malware versuchte, in Linux-Systemen durch systemd zu installieren, bietet die Diskussion über diesen Mechanismus in Red Canary nützlichen Kontext, wie Angreifer versuchen, Zugang in betroffenen Geräten zu erhalten: Erklärung der Beharrlichkeit mit systemd.

Schließlich unterstreicht dieser Fall, dass die Softwaresicherheit bei der Veröffentlichung von Code nicht beendet ist: die kontinuierliche Lieferinfrastruktur und die privilegierten Konten sind kritisches Ziel. Die Kombination von technischen Rezensionen, Geheimverwaltungspraktiken und einer sicherheitsbewussten CI-Konfiguration ist unerlässlich, um das Risiko zu reduzieren, dass eine legitime Abhängigkeit zu Ihren Geheimnissen zu einer Hintertür wird. Achten Sie auf die Aktualisierungen der Betreuer und Sicherheitslabore, die den Vorfall untersuchen und mit Vorsicht handeln, wenn Ihre Organisation möglicherweise betroffene Versionen verwendet haben.

Empfohlene Quellen und Lesungen: Sockets Analyse der neuen Verpflichtungswelle ( Sockel), der technische Bericht von Wiz mit Malware-Details ( WEITER), folgen Sie Schritt Sicherheit auf der bösartigen Version ( Schritt Sicherheit) und Aquas offene Diskussion in GitHub ( Aqua Sicherheit)