Código fuente de Cisco robado mediante ataque de cadena de suministro de Trivy

Qué sucedió

Cisco sufrió un ciberataque en el que actores de amenazas utilizaron credenciales robadas del reciente ataque a la cadena de suministro de Trivy para vulnerar su entorno de desarrollo interno. Los atacantes utilizaron un complemento malicioso de GitHub Action del compromiso de Trivy para robar credenciales y datos del entorno de compilación y desarrollo de Cisco.

Impacto y respuesta

La violación afectó a docenas de dispositivos, incluidas estaciones de trabajo de desarrolladores y laboratorios. Más de 300 repositorios de GitHub fueron clonados durante el incidente, incluido el código fuente de productos impulsados por IA como Asistentes de IA, Defensa de IA y productos no lanzados. Una parte de los repositorios robados pertenece a clientes corporativos, incluidos bancos, BPO y agencias gubernamentales de EE. UU.

Se informó que se robaron múltiples claves de AWS y se utilizaron para realizar actividades no autorizadas en un pequeño número de cuentas de AWS de Cisco. Cisco ha aislado los sistemas afectados, comenzó a reimaginarlos y está realizando una rotación de credenciales a gran escala.

Cadena de ataque y atribución

La violación fue causada por el ataque a la cadena de suministro del escáner de vulnerabilidades Trivy de este mes, donde los actores de amenazas comprometieron la canalización de GitHub del proyecto para distribuir malware que roba credenciales a través de lanzamientos oficiales y GitHub Actions. Ese ataque permitió el robo de credenciales de CI/CD de organizaciones que utilizan la herramienta.

Los investigadores de seguridad vincularon estos ataques a la cadena de suministro con el grupo de amenazas TeamPCP basándose en su uso del infostealer "TeamPCP Cloud Stealer". TeamPCP ha estado llevando a cabo una serie de ataques a la cadena de suministro dirigidos a plataformas de código de desarrolladores, incluidos GitHub, PyPi, NPM y Docker. El grupo también comprometió el paquete LiteLLM de PyPI y el proyecto Checkmarx KICS para implementar el mismo malware de robo de información.

Preocupaciones en curso

Aunque la violación inicial ha sido contenida, Cisco espera consecuencias continuas de los subsiguientes ataques a la cadena de suministro de LiteLLM y Checkmarx. Múltiples fuentes indicaron que más de un actor de amenazas estuvo involucrado en las violaciones de CI/CD y cuentas de AWS de Cisco, con diversos grados de actividad.