Aanvallers verstoppen infostealer in kwetsbaarhedenscanner Trivy

Kwetsbaarhedenscanner Trivy bevatte informatiestelende malware door een succesvolle hackaanval op ontwikkelaars van deze securitytool. Containerimages en GitHub-releases waren gecompromitteerd, wat ook het automatisch aanroepen van Trivy via GitHub Actions trof.

Het inplanten van een infostealer in deze securityscanner gebeurde via buitgemaakte inloggegevens voor de GitHub-repository van Trivy-maker Aqua Security, meldt Bleeping Computer. Daarmee kreeg de aanvaller, die gelinkt is aan cybercrimegroep TeamPCP, schrijfrechten voor de code van Trivy. Gebruikers van deze tool lopen risico dat inloggegevens voor hun ict-omgevingen zijn gestolen. De mogelijk getroffen omgevingen lopen uiteen van cloudinfrastructuur en containeropstellingen tot softwareontwikkelsystemen.

Aqua Security meldt dat deze aanval 'een voortzetting is van de supplychainaanval die eind februari 2026 begon'. Het bedrijf onthulde die eerdere aanval op 1 maart, waarna het de eigen inlogcredentials ververste. Die verversing gebeurde niet volledig gelijktijdig, maar nam enkele dagen in beslag, legt Aqua uit. Daardoor had de aanvaller mogelijk nog een valide inlogtoken waarmee nieuwe inloggegevens waren te verkrijgen.

Het gevaar van softwaresupplychains

Eind vorig jaar nam de Owasp Foundation gaten in softwaresupplychains op in haar lijst van ict-beveiligingsrisico's. Deze toen nieuwe categorie stond gelijk in de top drie van de vernieuwde Owasp-lijst. Op nummer een staat kapotte toegangscontrole en op nummer twee staan configuratiefouten van securitysystemen.

Bron: Curly_Photo/Moment/Getty Images

Reacties (5)

[Stukfruit]

Dit is dus exact een van de redenen waarom je packages vastzet op één specifieke versie én zulke tools alleen binnen een afgeschermde omgeving draait én gevoelige gegevens per definitie afgeschermd houdt én zaken die door Trivy worden gevonden automatisch onbruikbaar maakt door bv. nieuwe keys te genereren.

Het ging hier volgens het artikel trouwens over Trivy v0.69.4, die nu vervangen lijkt te zijn door de .3-release.

[lenwar]

https://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23 Hier hebben ze wat meer gepubliceerd.

Ik vind het een beetje tegenvallen dat ze niets op hun homepage hebben gezet overigens. Dit soort tools zijn 100% afhankelijk van vertrouwen en transparantie. Het is uiteraard open source, en het is maar een paar uur beschikbaar geweest, maar toch. Het zou netjes zijn als ze het even een weekje op de home pagina hadden gezet of zo.

[Stukfruit]

En hier de bijbehorende discussie (met links naar archive.org voor verwijderde discussies):
https://github.com/aquasecurity/trivy/discussions/10425

Maar daar ben ik het wel mee eens ja. Je hebt niet altijd tijd om issues, discussies en dan ook nog eens advisories en andere zaken na te kijken, terwijl het plaatsen van dit soort belangrijke informatie vaak redelijk afwisselend wordt gedaan in één van die drie. Of zelfs alleen maar op een bedrijfswebsite

Dat kan een stuk duidelijker.

[Lagonas]

Wel jammer dat Trivy deze kwetsbaarheid niet direct heeft kunnen vinden / stoppen

Iets serieuzer; Het valt me op dat de laatste tijd meerdere security pakketten aangevallen worden en geïnfecteerd. Volgens mij is het al het tweede artikel deze week op Tweakers. Dat is toch wel een zorgwekkende trend.

Ik werk in een enterprise omgeving en we investeren jaarlijks miljoenen in onze security tools en vertrouwen er op dat ze hun werk op een goede manier doen, en dan is de ontwikkelaar zelf getroffen..

[Ryunoru]

Dat is geen nieuws onder de horizon. Veiligheidssoftware is al decennia een van de meest getroffen vector van aanvallers.