Trivy GitHub-intrång sprider infostealer via CI-attack

En leveranskedjeincident har avslöjat allvarliga svagheter i CI/CD-pipelines. Trivy GitHub-intrånget visar hur angripare kan utnyttja automatiserade arbetsflöden för att ta kontroll över betrodda projekt. I detta fall blev ett säkerhetsverktyg själv ingångspunkten och förvandlade en defensiv lösning till en distributionskanal för skadlig kod.

Felkonfigurerat arbetsflöde möjliggjorde initial åtkomst

Attacken började med ett GitHub Actions-arbetsflöde som tillät extern input att köras med förhöjda behörigheter. På grund av detta kunde angripare köra kod i CI-miljön.

Som ett resultat blev känsliga autentiseringsuppgifter som lagrats i repositoryt tillgängliga. I synnerhet exponerades en GitHub-token med omfattande behörigheter, vilket gav angripare möjlighet att agera inom projektet.

Angripare eskalerade kontrollen snabbt

När åtkomst väl etablerats agerade angriparna snabbt. De använde den komprometterade token för att ändra repositoryinställningar och störa normal drift.

Samtidigt introducerade de skadliga förändringar i projektets ekosystem. Dessa handlingar visade hur snabbt en enda exponerad autentiseringsuppgift kan leda till full kontroll över ett repository.

Som en följd sträckte sig påverkan bortom det initiala intrånget och vidare till nedströmsanvändare.

Skadlig kod riktades mot utvecklare

Angriparna publicerade en komprometterad version av ett utvecklingstillägg kopplat till projektet. Denna version innehöll inbäddad kod utformad för att stjäla känslig data.

Specifikt riktade infostealern in sig på autentiseringsuppgifter, API-nycklar och lokal konfigurationsdata. Eftersom den distribuerades via en betrodd kanal framstod den som legitim för användare.

Som ett resultat riskerade utvecklare som installerade den drabbade versionen att exponera data från sina miljöer utan omedelbar varning.

Automatiserad kampanj utökade påverkan

Intrånget var en del av en bredare automatiserad kampanj. Angripare skannade repositories i stor skala för att identifiera svaga CI/CD-konfigurationer.

Eftersom denna process var automatiserad kunde flera projekt angripas med samma teknik. Detta ökade både hastigheten och räckvidden för attackerna.

Detta belyser en växande trend där angripare fokuserar på skalbara svagheter snarare än isolerade sårbarheter.

En enkel svaghet ledde till stor exponering

Grundorsaken var inte ett komplext angrepp. Istället handlade det om en kombination av överdrivna behörigheter och osäker arbetsflödesdesign.

När arbetsflöden tillåter opålitlig input att köras med förhöjd åtkomst skapas en direkt väg till kompromettering. När detta väl triggas kan angripare snabbt eskalera och ta kontroll över kritiska system.

Därför kan även en enda felkonfiguration innebära betydande risker i leveranskedjan.

Slutsats

Trivy GitHub-intrånget visar hur CI/CD-pipelines har blivit en central attackyta. Istället för att utnyttja programvarubrist fokuserar angripare på arbetsflödesdesign och behörighetsmodeller. Denna metod gör det möjligt att stjäla autentiseringsuppgifter och injicera skadlig kod i betrodda miljöer. Samtidigt visar användningen av infostealers en tydlig förskjutning mot att rikta in sig direkt på utvecklare. Organisationer måste svara genom att skärpa behörigheter, säkra arbetsflöden och övervaka automatiserade system mer noggrant.