Хакеры провели сложную атаку на цепочку поставок, скомпрометировав популярный сканер уязвимостей Trivy. Они подменили теги GitHub Actions и выпустили вредоносную версию инструмента, которая затем распространялась среди пользователей.

Атака была реализована через взлом аккаунта одного из сопровождающих проекта. Злоумышленники создали поддельный релиз на GitHub, который содержал модифицированный код сканера с внедрённым инфостилером.

Вредоносная программа была предназначена для кражи конфиденциальных данных из CI/CD-процессов и с рабочих станций разработчиков. Она собирала секреты, токены и другие чувствительные данные, после чего шифровала их и отправляла на сервер, контролируемый злоумышленниками.

Инцидент демонстрирует растущую изощрённость атак на цепочки поставок, где целью становятся инструменты, используемые для обеспечения безопасности. Подобные атаки ставят под удар множество проектов, которые полагаются на автоматизированные процессы сборки и тестирования.

В результате инцидента под угрозой оказались секреты и данные всех, кто использовал скомпрометированную версию сканера в своих пайплайнах. Разработчикам и компаниям рекомендуется проверить свои системы и обновить инструмент до проверенной версии.