في عالم الأمن السيبراني، تتزايد التهديدات بشكل مستمر، وآخرها هو هجوم Trivy الذي انتشر عبر Docker. هذا الهجوم يسلط الضوء على أهمية حماية بيئات المطورين من التهديدات المتزايدة.
انتشار هجوم Trivy عبر Docker: سرقة المعلومات وتفعيل دودة وWiper Kubernetes
كشف الباحثون في مجال الأمن السيبراني عن وجود مواد ضارة تم توزيعها عبر Docker Hub بعد هجوم سلسلة التوريد على Trivy، مما يبرز اتساع دائرة التأثير عبر بيئات المطورين.
آخر إصدار نظيف معروف من Trivy على Docker Hub هو 0.69.3. وقد تمت إزالة الإصدارات الضارة 0.69.4 و0.69.5 و0.69.6 من مكتبة صور الحاويات.
قال الباحث في الأمن Socket، فيليب بيركهاردت: “تم دفع علامات الصور الجديدة 0.69.5 و0.69.6 في 22 مارس دون إصدارات أو علامات متطابقة على GitHub. تحتوي كلا الصورتين على مؤشرات على وجود اختراق مرتبطة بنفس برنامج TeamPCP لسرقة المعلومات الذي تم ملاحظته في مراحل سابقة من هذه الحملة.”
تأتي هذه التطورات في أعقاب اختراق سلسلة التوريد لـ Trivy، وهو ماسح ثغرات مفتوح المصدر شهير تديره Aqua Security، مما سمح للمهاجمين باستخدام بيانات اعتماد مخترقة لدفع أداة سرقة بيانات ضمن إصدارات Trojanized من الأداة واثنين من إجراءات GitHub ذات الصلة “aquasecurity/trivy-action” و”aquasecurity/setup-trivy.”
كان للهجوم تأثيرات سلبية، حيث استخدم المهاجمون البيانات المسروقة لاختراق العشرات من حزم npm لتوزيع دودة ذاتية الانتشار تُعرف باسم CanisterWorm. يُعتقد أن الحادث هو من عمل جهة تهديد تُعرف باسم TeamPCP.
وفقًا لفريق OpenSourceMalware، قام المهاجمون بتشويه جميع المستودعات الداخلية الـ 44 المرتبطة بمنظمة GitHub “aquasec-com” الخاصة بـ Aqua Security عن طريق إعادة تسمية كل منها باستخدام بادئة “tpcp-docs-“، وتعيين جميع الأوصاف إلى “TeamPCP تمتلك Aqua Security”، وكشفها للجمهور.
من الجدير بالذكر أن حساب “aquasec-com” يختلف عن حساب منظمة GitHub الأخرى المعروفة لشركة الأمن السحابي، “aquasecurity”، الذي يستضيف ماسح Trivy المتأثر وإجراءات GitHub، بالإضافة إلى مشاريع مفتوحة المصدر متنوعة. تحتوي المنظمة الجديدة المخترقة على كود مصدر ملكي، بما في ذلك كود مصدر Tracee، والفروع الداخلية لـ Trivy، وخطوط CI/CD، وعوامل تشغيل Kubernetes، وقواعد المعرفة الخاصة بالفريق.
يُقال إن جميع المستودعات قد تم تعديلها في فترة زمنية قصيرة مدتها دقيقتان بين 20:31:07 UTC و20:32:26 UTC في 22 مارس 2026. وقد تم تقييم ذلك بثقة عالية أن الجهة المهاجمة استخدمت حساب خدمة “Argon-DevOps-Mgt” المخترق لهذا الغرض.
قال الباحث الأمني بول مكارتي: “تشير تحليلاتنا الجنائية لواجهة برمجة تطبيقات أحداث GitHub إلى أن رمز حساب الخدمة المخترق – الذي يُحتمل أنه سُرق خلال اختراق إجراءات GitHub السابقة لـ TeamPCP – كان هو وسيلة الهجوم.” وأضاف: “هذا حساب خدمة/روبوت (معرف GitHub 139343333، تم إنشاؤه في 2023-07-12) له خاصية حرجة: إنه يربط بين كلا منظمتين GitHub.”
وأضاف مكارتي: “رمز مخترق واحد لهذا الحساب يمنح المهاجم وصولًا للكتابة/الإدارة إلى كلا المنظمتين.”
تعتبر هذه التطورات أحدث تصعيد من جهة تهديد اكتسبت سمعة لاستهداف البنى التحتية السحابية، بينما تبني تدريجياً قدراتها على تعريض واجهات برمجة تطبيقات Docker، ومجموعات Kubernetes، ولوحات Ray، وخوادم Redis لسرقة البيانات، ونشر برامج الفدية، وعمليات الابتزاز، وتعدين العملات المشفرة.
أفضل مثال على تطورهم المتزايد هو ظهور برنامج Wiper جديد ينتشر عبر SSH عبر مفاتيح مسروقة ويستغل واجهات برمجة تطبيقات Docker المعرضة على المنفذ 2375 عبر الشبكة المحلية.
تم العثور على حمولة جديدة تُنسب إلى TeamPCP تتجاوز سرقة البيانات إلى مسح مجموعات Kubernetes (K8s) بالكامل الموجودة في إيران. يستخدم البرنامج النصي shell نفس ICP canister المرتبط بـ CanisterWorm ثم يقوم بإجراء فحوصات لتحديد الأنظمة الإيرانية.
قال الباحث الأمني تشارلي إريكسن: “على Kubernetes: ينشر DaemonSets بامتياز عبر كل عقدة، بما في ذلك لوحة التحكم.” “تتعرض العقد الإيرانية للمسح وإعادة التشغيل القسري عبر حاوية تُدعى ‘kamikaze.’ بينما يتم تثبيت باب خلفي CanisterWorm كخدمة systemd على العقد غير الإيرانية. يتم تنفيذ الأمر ‘rm -rf / –no-preserve-root’ على المضيفات الإيرانية غير K8s.”
نظرًا للطبيعة المستمرة للهجوم، من الضروري أن تقوم المنظمات بمراجعة استخدامهم لـ Trivy في خطوط CI/CD، وتجنب استخدام الإصدارات المتأثرة، ومعاملة أي تنفيذات حديثة كأنها قد تكون مخترقة.
قال OpenSourceMalware: “يثبت هذا الاختراق طول ذيل هجمات سلسلة التوريد.” “تم استخدام بيانات اعتماد تم جمعها خلال اختراق إجراءات GitHub لـ Trivy قبل عدة أشهر اليوم لتشويه منظمة GitHub الداخلية بالكامل. كان حساب الخدمة Argon-DevOps-Mgt – وهو حساب روبوت واحد يربط بين منظمتين مع PAT طويل الأمد – هو الحلقة الضعيفة.”
“من استغلال السحابة إلى ديدان سلسلة التوريد إلى مساحات Kubernetes، يبنون القدرات ويستهدفون نظام بيئة الأمن نفسه. يجب ألا يفوتنا سخرية أن شركة أمن سحابي تم اختراقها من قبل جهة تهديد سحابية.”
تحديث
في تحديث رسمي تم مشاركته في 23 مارس 2026، قالت Aqua Security إن تحقيقها “يركز بنشاط على التحقق من أن جميع مسارات الوصول قد تم تحديدها وإغلاقها بالكامل،” مضيفة أنه لا توجد مؤشرات على أن منتجاتها التجارية تأثرت بالحادثة.
قالت CrowdStrike: “لم تكن الآليات هنا جديدة. المهاجم، الذي يمتلك حق الوصول للكتابة إلى المستودع، دفع علامات إلى التزام جديد يحتوي على نقطة دخول معدلة واعتمد على حقيقة أن معظم سير العمل تشير إلى الإجراءات حسب العلامة.” “بالنسبة للمدافع، الدرس هو تثبيت إجراءاتك من خلال الالتزام بـ SHA، ومراقبة عداء CI/CD بنفس الصرامة مثل مضيفات الإنتاج، ومعاملة أي كود يعمل في خط الأنابيب الخاص بك ككود يعمل في بنيتك التحتية.”
مع استمرار تطور التهديدات، يجب على المنظمات أن تكون يقظة وأن تراجع ممارساتها الأمنية لضمان سلامة بياناتها. الهجمات مثل هجوم Trivy تظهر لنا أهمية الحذر في استخدام الأدوات البرمجية.
