هک Trivy اینفواستیلر را از طریق Docker منتشر می‌کند و کرم و پاک‌کننده Kubernetes را فعال می‌سازد

محققان امنیت سایبری آثار مخرب توزیع‌شده از طریق Docker Hub را در پی حمله زنجیره تأمین (supply chain attack) به ابزار Trivy کشف کردند. نسخه‌های آلوده ۰.۶۹.۴، ۰.۶۹.۵ و ۰.۶۹.۶ این اسکنر آسیب‌پذیری متن‌باز که توسط Aqua Security نگهداری می‌شود، از Docker Hub حذف شده‌اند. مهاجمان با بهره‌گیری از اعتبارنامه‌های (credentials) به خطر افتاده، یک بدافزار سرقت اطلاعات را در نسخه‌های تروجانیزه‌شده ابزار و دو GitHub Actions مرتبط جاسازی کردند. داده‌های سرقت‌شده سپس برای آلوده‌سازی ده‌ها بسته npm و انتشار کرم خودتکثیرشونده‌ای موسوم به CanisterWorm مورد سوءاستفاده قرار گرفت. این حملات به گروه تهدید TeamPCP نسبت داده می‌شود.

در تازه‌ترین تشدید این حملات، مهاجمان تمامی ۴۴ مخزن داخلی سازمان GitHub با نام «aquasec-com» متعلق به Aqua Security را با پیشوند «tpcp-docs-» تغییر نام داده و به‌صورت عمومی افشا کردند؛ این مخازن حاوی کدهای منبع اختصاصی از جمله Tracee، نسخه‌های داخلی Trivy، و خطوط CI/CD هستند. تحلیل‌های پزشکی قانونی نشان می‌دهد که حساب سرویس «Argon-DevOps-Mgt» که هر دو سازمان GitHub را به هم متصل می‌کرد، نقطه ضعف اصلی بوده است. علاوه بر این، یک بدافزار پاک‌کننده (wiper malware) جدید منتسب به TeamPCP شناسایی شده که خوشه‌های Kubernetes واقع در ایران را به‌طور کامل پاک می‌کند. کارشناسان امنیتی به سازمان‌ها توصیه اکید می‌کنند که استفاده از Trivy در خطوط CI/CD را بازبینی کرده و هرگونه اجرای اخیر آن را به‌عنوان احتمالاً آلوده تلقی کنند.