كشفت أحدث التقارير الأمنية عن اكتشاف برمجيات خبيثة تم توزيعها عبر منصة Docker Hub، وذلك في أعقاب الهجوم الذي استهدف سلسلة توريد أداة Trivy. يسلّط هذا التطور الضوء على التوسع المستمر في نطاق التأثير ليشمل بيئات المطورين.
آخر إصدار نظيف معروف لأداة Trivy على Docker Hub هو النسخة 0.69.3. وقد تمت إزالة الإصدارات الخبيثة 0.69.4، و0.69.5، و0.69.6 من مكتبة صور الحاويات.
هجوم Trivy يتوسع ليشمل Docker Hub
قال باحث الأمن فيليب بيركهاردت: “تم دفع علامتي صور جديدتين، 0.69.5 و0.69.6، في 22 مارس دون إصدارات أو علامات مقابلة على GitHub. تحتوي كلتا الصورتين على مؤشرات اختراق مرتبطة بنفس برنامج سرقة المعلومات TeamPCP الذي لوحظ في المراحل المبكرة من هذه الحملة”.
يأتي هذا التطور في أعقاب اختراق سلسلة توريد أداة Trivy، وهي أداة فحص ثغرات شائعة مفتوحة المصدر تحتفظ بها شركة Aqua Security. سمح هذا الاختراق للمهاجمين باستغلال بيانات اعتماد مخترقة لدفع برامج سرقة بيانات ضمن إصدارات خبيثة من الأداة واثنين من إجراءات GitHub ذات الصلة (“aquasecurity/trivy-action” و”aquasecurity/setup-trivy”).
وقد أحدث الهجوم تأثيرات متتالية، حيث استغل المهاجمون البيانات المسروقة لاختراق عشرات الحزم على منصة npm لتوزيع دودة ذاتية الانتشار معروفة باسم CanisterWorm. يعتقد أن هذا الحادث هو من عمل جهة تهديد تُعرف باسم TeamPCP.
التفاصيل الكاملة للهجوم
بحسب فريق OpenSourceMalware، قام المهاجمون بتشويه جميع المستودعات الداخلية الـ 44 المرتبطة بمؤسسة GitHub “aquasec-com” التابعة لـ Aqua Security. تم ذلك عن طريق إعادة تسمية كل منها ببادئة “tpcp-docs-“، وتعيين جميع الأوصاف لتصبح “TeamPCP Owns Aqua Security”، وتعريضها للعامة.
من المفترض أن جميع المستودعات تم تعديلها ضمن انفجار نصي مدته دقيقتان بين الساعة 20:31:07 و20:32:26 بالتوقيت العالمي المنسق في 22 مارس 2026. تم تقييم الأمر بدرجة عالية من الثقة بأن جهة التهديد استغلت حساب خدمة “Argon-DevOps-Mgt” المخترق لهذا الغرض.
صرح الباحث الأمني بول مكارتي: “تحليلاتنا الجنائية لواجهة برمجة تطبيقات أحداث GitHub تشير إلى أن رمز حساب خدمة مخترق – من المحتمل أنه سُرق أثناء الاختراق السابق لـ Trivy GitHub Actions بواسطة TeamPCP – هو ناقل الهجوم. هذا حساب خدمة/بوت (معرف GitHub 139343333، تم إنشاؤه في 2023-07-12) يمتلك خاصية حاسمة: فهو يربط بين مؤسستي GitHub.”
وأضاف مكارتي: “رمز واحد مخترق لهذا الحساب يمنح المهاجم وصول كتابة/إدارة إلى كلتا المنظمتين.”
تصاعد القدرات وطبيعة الهجمات
يمثل هذا التطور أحدث تصعيد من جهة تهديد بنت سمعتها من خلال استهداف البنى التحتية السحابية، مع بناء قدرات متزايدة بشكل منهجي لكشف واجهات برمجة تطبيقات Docker، وعناقيد Kubernetes، ولوحات تحكم Ray، وخوادم Redis لسرقة البيانات، ونشر برامج الفدية، وشن عمليات الابتزاز، وتعدين العملات المشفرة.
تتجلى براعتهم المتزايدة بشكل أفضل في ظهور برامج مسح جديدة تنتشر عبر SSH باستخدام المفاتيح المسروقة وتستغل واجهات برمجة تطبيقات Docker المكشوفة على المنفذ 2375 عبر الشبكة الفرعية المحلية.
تم اكتشاف حمولة جديدة تُنسب إلى TeamPCP تتجاوز سرقة بيانات الاعتماد إلى مسح عناقيد Kubernetes (K8s) بأكملها الموجودة في إيران. يستخدم النص البرمجي نفس حاوية ICP المرتبطة بـ CanisterWorm ثم يقوم بإجراء فحوصات لتحديد الأنظمة الإيرانية.
أشار باحث الأمن في شركة Aikido، تشارلي إريكسن، قائلاً: “على Kubernetes: يقوم بنشر DaemonSets ذات صلاحيات مميزة عبر كل عقدة، بما في ذلك مستوى التحكم. يتم مسح العقد الإيرانية وإعادة تشغيلها قسراً عبر حاوية تسمى ‘kamikaze’. يتم تثبيت باب خلفي CanisterWorm على العقد غير الإيرانية كخدمة systemd. أما المضيفون الإيرانيون غير التابعون لـ K8s فيتم تشغيل الأمر ‘rm -rf / –no-preserve-root.’ عليهم.”
نظرًا للطبيعة المستمرة للهجوم، من الضروري أن تقوم المؤسسات بمراجعة استخدامها لأداة Trivy في مسارات CI/CD، وتجنب استخدام الإصدارات المتأثرة، واعتبار أي عمليات تنفيذ حديثة مخترقة محتملة.
وختم فريق OpenSourceMalware: “يوضح هذا الاختراق الذيل الطويل لهجمات سلسلة التوريد. لقد تم استخدام بيانات اعتماد تم جمعها خلال اختراق Trivy GitHub Actions قبل أشهر اليوم لتشويه منظمة GitHub داخلية بأكملها. كان حساب خدمة Argon-DevOps-Mgt – وهو حساب بوت واحد يربط بين منظمتين مع PAT طويل الأمد – هو الحلقة الضعيفة.”
“من الاستغلال السحابي إلى ديدان سلسلة التوريد إلى الماسحات الخاصة بـ Kubernetes، فإنهم يبنون القدرات ويستهدفون نظام بائعي الأمن نفسه. المفارقة المتمثلة في تعرض شركة أمن سحابي للاختراق من قبل جهة تهديد أصلية سحابية يجب ألا تضيع على الصناعة.”