Trivy GitHub-Verstoß verbreitet Infostealer über CI-Angriff

Ein Vorfall in der Lieferkette hat schwerwiegende Schwachstellen in CI/CD-Pipelines offengelegt. Der Trivy GitHub-Verstoß zeigt, wie Angreifer automatisierte Workflows ausnutzen können, um die Kontrolle über vertrauenswürdige Projekte zu übernehmen. In diesem Fall wurde ein Sicherheitstool selbst zum Einstiegspunkt und verwandelte eine Schutzlösung in einen Verbreitungskanal für schädlichen Code.

Fehlkonfigurierter Workflow ermöglichte ersten Zugriff

Der Angriff begann mit einem GitHub Actions-Workflow, der es erlaubte, externe Eingaben mit erhöhten Berechtigungen auszuführen. Dadurch konnten Angreifer Code innerhalb der CI-Umgebung ausführen.

Infolgedessen wurden sensible Zugangsdaten, die im Repository gespeichert waren, zugänglich. Insbesondere wurde ein GitHub-Token mit weitreichenden Berechtigungen offengelegt, wodurch Angreifer innerhalb des Projekts agieren konnten.

Angreifer eskalierten die Kontrolle schnell

Sobald der Zugriff hergestellt war, handelten die Angreifer zügig. Sie nutzten das kompromittierte Token, um Repository-Einstellungen zu ändern und den normalen Betrieb zu stören.

Gleichzeitig führten sie schädliche Änderungen im Projektökosystem ein. Diese Aktionen zeigten, wie schnell eine einzige offengelegte Zugangsinformation zur vollständigen Kontrolle über ein Repository führen kann.

Infolgedessen reichte die Auswirkung über den ursprünglichen Verstoß hinaus und betraf auch nachgelagerte Nutzer.

Schadcode zielte auf Entwickler ab

Die Angreifer veröffentlichten eine kompromittierte Version einer mit dem Projekt verbundenen Entwicklererweiterung. Diese Version enthielt eingebetteten Code, der darauf ausgelegt war, sensible Daten zu stehlen.

Konkret zielte der Infostealer auf Zugangsdaten, API-Schlüssel und lokale Konfigurationsdaten ab. Da er über einen vertrauenswürdigen Kanal verbreitet wurde, wirkte er für Nutzer legitim.

Infolgedessen liefen Entwickler, die die betroffene Version installierten, Gefahr, Daten aus ihren Umgebungen ohne unmittelbare Warnung preiszugeben.

Automatisierte Kampagne erweiterte die Auswirkungen

Der Vorfall war Teil einer umfassenderen automatisierten Kampagne. Angreifer durchsuchten Repositories in großem Maßstab, um schwache CI/CD-Konfigurationen zu identifizieren.

Da dieser Prozess automatisiert war, wurden mehrere Projekte mit derselben Methode angegriffen. Dadurch erhöhten sich sowohl die Geschwindigkeit als auch die Reichweite der Angriffe.

Dies unterstreicht einen wachsenden Trend, bei dem Angreifer auf skalierbare Schwachstellen statt auf einzelne Lücken abzielen.

Einfache Schwäche führte zu großer Exposition

Die Ursache war kein komplexer Exploit. Vielmehr handelte es sich um eine Kombination aus übermäßigen Berechtigungen und unsicherem Workflow-Design.

Wenn Workflows es erlauben, dass nicht vertrauenswürdige Eingaben mit erhöhten Rechten ausgeführt werden, entsteht ein direkter Weg zur Kompromittierung. Sobald dies geschieht, können Angreifer schnell eskalieren und die Kontrolle über kritische Systeme übernehmen.

Daher kann bereits eine einzelne Fehlkonfiguration erhebliche Risiken in der Lieferkette verursachen.

Fazit

Der Trivy GitHub-Verstoß zeigt, wie CI/CD-Pipelines zu einer zentralen Angriffsfläche geworden sind. Anstatt Softwarefehler auszunutzen, zielen Angreifer auf Workflow-Designs und Berechtigungsmodelle ab. Dieser Ansatz ermöglicht es, Zugangsdaten zu stehlen und schädlichen Code in vertrauenswürdige Umgebungen einzuschleusen. Gleichzeitig zeigt der Einsatz von Infostealern eine klare Verschiebung hin zur direkten Zielrichtung auf Entwickler. Unternehmen müssen darauf reagieren, indem sie Berechtigungen einschränken, Workflows absichern und automatisierte Systeme genauer überwachen.