Alerta por ataque a Trivy: Infostealer, gusanos y malware en Kubernetes
Publicado el
Descubrimiento de artefactos maliciosos en Docker Hub
Recientemente, investigadores de ciberseguridad han identificado artefactos maliciosos distribuidos a través de Docker Hub, como resultado de un ataque a la cadena de suministro de Trivy, un popular escáner de vulnerabilidades de código abierto mantenido por Aqua Security. La última versión limpia conocida de Trivy en Docker Hub es la 0.69.3, mientras que las versiones comprometidas 0.69.4, 0.69.5 y 0.69.6 han sido retiradas del repositorio.
Philipp Burckhardt, investigador de seguridad de Socket, indicó que las nuevas etiquetas de imagen 0.69.5 y 0.69.6 fueron publicadas el 22 de marzo sin lanzamientos o etiquetas correspondientes en GitHub. Estas imágenes contienen indicadores de compromiso asociados con el infostealer de TeamPCP, observado en fases anteriores de esta campaña.
Impacto del ataque
Este ataque a Trivy ha tenido repercusiones en cadena, ya que los atacantes han utilizado los datos robados para comprometer decenas de paquetes de npm y distribuir un gusano autoproductivo conocido como CanisterWorm. Se cree que este incidente es obra de un actor de amenazas denominado TeamPCP. Según el equipo de OpenSourceMalware, los atacantes han desfigurado todos los 44 repositorios internos asociados con la organización de GitHub de Aqua Security, renombrándolos con el prefijo "tpcp-docs-" y exponiéndolos públicamente.
Técnicas de ataque y su sofisticación
El análisis forense de la API de eventos de GitHub indica que se utilizó un token de cuenta de servicio comprometido, probablemente robado durante una anterior violación de las acciones de GitHub de Trivy, como vector del ataque. Paul McCarty, investigador de seguridad, destacó que un solo token comprometido otorga al atacante acceso de escritura y administración a ambas organizaciones.
El ataque ha mostrado una escalada significativa en las capacidades del actor de amenazas, quien ha estado apuntando a infraestructuras en la nube y exponiendo sistemáticamente APIs de Docker, clusters de Kubernetes, paneles de Ray y servidores Redis para robar datos, desplegar ransomware, extorsionar y minar criptomonedas. La aparición de un nuevo malware de tipo wiper que se propaga a través de SSH utilizando claves robadas ha elevado aún más el nivel de amenaza.
Malware Wiper y su devastador efecto
Un nuevo payload atribuido a TeamPCP ha sido descubierto, capaz de no solo robar credenciales, sino también de borrar completamente clusters de Kubernetes en Irán. Este script shell utiliza el mismo canister de ICP vinculado a CanisterWorm y realiza verificaciones para identificar sistemas iraníes. Según Charlie Eriksen, investigador de seguridad de Aikido, este malware despliega DaemonSets privilegiados en cada nodo, incluyendo el plano de control, y los nodos iraníes son eliminados y reiniciados a través de un contenedor llamado 'kamikaze'. Por otro lado, los nodos no iraníes reciben la puerta trasera CanisterWorm como un servicio de systemd.
Recomendaciones para las organizaciones
Dada la naturaleza continua de este ataque, es crucial que las organizaciones revisen su uso de Trivy en pipelines CI/CD, evitando las versiones afectadas y tratando cualquier ejecución reciente como potencialmente comprometida. Este compromiso resalta la larga duración de los ataques a la cadena de suministro, donde una credencial obtenida durante la violación de las acciones de GitHub de Trivy hace meses fue utilizada para desfigurar toda una organización interna de GitHub.
El caso de Aqua Security también destaca la ironía de que una empresa de seguridad en la nube haya sido comprometida por un actor de amenazas nativo en la nube, lo que debería ser una llamada de atención para toda la industria.