Украден е изворен код на Cisco при пробив поврзан со Trivy во развојна околина

Cisco претрпе сајбер напад откако напаѓачи искористиле украдени креденцијали од неодамнешниот supply chain напад врз Trivy за да пробијат во нејзината интерна развојна околина и да украдат изворен код на компанијата и нејзините клиенти.

Извор кој сакал да остане анонимен изјавил за BleepingComputer дека тимовите Unified Intelligence Center, CSIRT и EOC на Cisco го локализирале инцидентот, кој вклучувал малициозен „GitHub Action plugin“ поврзан со Trivy компромитацијата.

Напаѓачите го искористиле овој малициозен GitHub Action за да украдат креденцијали и податоци од build и развојната околина, при што биле погодени десетици уреди, вклучително и developer и лабораториски работни станици. Иако почетниот пробив е ставен под контрола, се очекуваат дополнителни последици поради поврзаните LiteLLM и Checkmarx supply chain напади.

Како дел од нападот, биле украдени повеќе AWS клучеви, кои потоа биле користени за неовластени активности на мал број AWS сметки на Cisco. Компанијата ги изолирала погодените системи, започнала нивно повторно инсталирање (reimaging) и спроведува масовна ротација на креденцијали.

Според информациите, повеќе од 300 GitHub репозиториуми биле клонирани за време на инцидентот, вклучувајќи изворен код за AI-базирани производи како AI Assistants, AI Defense, како и непубликувани производи.

Дел од украдените репозиториуми наводно припаѓаат на корпоративни клиенти, вклучително банки, BPO компании и американски владини агенции. Повеќе извори наведуваат дека во нападот учествувале повеќе групи напаѓачи со различно ниво на активност.

BleepingComputer се обратил до Cisco за коментар, но компанијата засега нема одговорено.

Trivy supply chain нападот

Пробивот кај Cisco е директна последица на неодамнешниот supply chain напад врз Trivy — алатка за скенирање ранливости — при што напаѓачите го компромитирале GitHub pipeline-от на проектот за да дистрибуираат malware за кражба на креденцијали преку официјални верзии и GitHub Actions.

Овој напад овозможил кражба на CI/CD креденцијали од организации што ја користат алатката, давајќи им пристап на напаѓачите до илјадници интерни build околини.

Безбедносните истражувачи ги поврзуваат овие напади со групата TeamPCP, врз основа на користењето на нивниот malware „TeamPCP Cloud Stealer“. Групата спроведува серија supply chain напади насочени кон платформи за развој на код како GitHub, PyPI, NPM и Docker.

Истата група ја компромитирала и LiteLLM PyPI библиотеката — што погодило десетици илјади уреди — како и проектот Checkmarx KICS, со цел да дистрибуира ист тип на инфостилер малициозен софтвер.

Извори:

• Bleeping Computer – Cisco source code stolen in Trivy-linked dev environment breach Bleeping Computer