Source: GitHub (aquasecurity/trivy). Les mainteneurs annoncent qu’un workflow GitHub Actions vulnérable a été exploité (cf. billet StepSecurity), entraînant des actions malveillantes sur le dépôt Trivy et des artefacts associés; le workflow en cause a été corrigé et la restauration est en cours.

  • Impact observé (confirmé par les mainteneurs):

    • Le dépôt public a été rendu privé et renommé (aquasecurity/private-trivy), puis un dépôt vide a été poussé à la place.
    • Suppression des Releases 0.27.0 à 0.69.1, ainsi que des Discussions et Assets liés à ces releases.
    • Publication d’un artefact malveillant pour l’extension VSCode de Trivy sur l’Open VSIX Marketplace; l’artefact a été retiré et le jeton de publication révoqué.
    • Les autres assets Trivy ont été examinés; pas d’autres impacts observés à ce stade. L’usage via images container ou gestionnaires de paquets ne devrait pas être affecté. Les téléchargements directs (binaire GitHub, get.trivy.dev, script d’installation, Action Trivy) sont dégradés. v0.69.2 a été republiée.

  • Chronologie (UTC) fournie par les mainteneurs 🚨:

    • 27 fév., 00:18 — PR #10252 créée puis immédiatement fermée, déclenchant la CI.
    • 27 fév., 12:01 — Début d’activité API non autorisée via PAT compromis.
    • 27 fév., 12:36 — Création d’un avis de sécurité malveillant dans trivy-vscode-extension.
    • 28 fév., 03:17 — PR “hackerbot-claw” créée et fermée.
    • 1er mars, 00:14 — Suppression massive des releases par script.
    • 1er mars, 00:27 — Renommage du dépôt et création d’un faux dépôt.

  • Enquête et constats clés:

    • Les mainteneurs estiment que le créateur de #10252 et “hackerbot-claw” sont probablement la même entité, sur la base de: même hash de PAT compromis, mêmes indicateurs de pays, même user-agent (Linux x86_64 Chrome), enchaînement temporel cohérent, et mêmes patterns (PR créée puis fermée pour déclencher la CI).
    • Une communauté relève l’usage du déclencheur on: pull_request_target depuis 2025-10-07, sollicitant une évaluation complète des impacts potentiels. Les mainteneurs indiquent que le code n’a pas été modifié (vérifiable via les IDs de commit) et ont ajouté des hashes aux nouveaux assets de release.

  • IOCs et TTPs observés 🧭:

    • IoCs:
      • PAT compromis (même hash observé sur les actions malveillantes).
      • User-Agent: Linux x86_64 Chrome (dans les journaux d’accès).
      • Artefact malveillant de l’extension VSCode publié sur Open VSIX (supprimé).
      • Dépôt renommé en aquasecurity/private-trivy et faux dépôt vide poussé.
      • Suppression des releases v0.27.0–v0.69.1 et assets associés.
    • TTPs:
      • Exploitation d’un workflow GitHub Actions (notamment via pull_request_target).
      • Création/fermeture de PR pour déclencher la CI et exécuter du code.
      • Exfiltration/usage d’un PAT pour des appels API non autorisés.
      • Suppression en masse d’assets et renommage du dépôt.
      • Publication d’un paquet/extension malveillant via un jeton compromis.

Type d’article: annonce d’incident détaillant l’impact confirmé, la chronologie, et l’état de la remédiation.

🔗 Source originale : https://github.com/aquasecurity/trivy/discussions/10265