Los hackers han comprometido prácticamente todas las versiones del ampliamente utilizado escáner de vulnerabilidades Trivy de Aqua Security en un ataque a la cadena de suministro en curso que podría tener consecuencias significativas para desarrolladores y organizaciones que dependen de él.
El maintainer de Trivy, Itay Shakury, confirmó el compromiso el viernes, después de rumores y una publicación eliminada que discutía el incidente. El ataque comenzó temprano en la mañana del jueves e involucró credenciales robadas que se utilizaron para forzar el envío a través de todas las etiquetas trivy-action excepto una y siete etiquetas setup-trivy con dependencias maliciosas. Un envío forzado es un comando git que reemplaza los mecanismos de seguridad predeterminados, permitiendo a los atacantes sobrescribir comités existentes.
Las firmas de seguridad Socket y Wiz informaron que malware activado en 75 etiquetas trivy-action comprometidas causa la ejecución de malware personalizado que busca exhaustivamente las líneas de ensamblaje de desarrollo para tokens de GitHub, credenciales de nube, claves SSH, tokens de Kubernetes e información secreta adicional. Una vez encontrada, el malware cifra los datos y los envía a un servidor controlado por el atacante.
Al ejecutarse, el binario malicioso comienza tanto el servicio legítimo Trivy como el código malicioso en paralelo. Los investigadores de Wiz señalaron que el código malicioso expulsa secretos con un mecanismo primario y secundario. Si se detecta en una máquina del desarrollador, escribe un dropper Python codificado en base64 para persistencia. El compromiso surgió a partir de una violación de credenciales separada el mes pasado, donde los atacantes ganaron acceso de escritura a la cuenta de GitHub de Trivy.
Socket explicó que la técnica de ataque utilizó múltiples capas de engaño, lo que permitió que el compromiso pasara desapercibido para las defensas comunes. El atacante forzó actualizaciones en 75 etiquetas de versión existentes con commits maliciosos sin disparar notificaciones ni historiales de nuevos commit.