Código-fonte da Cisco roubado por meio de ataque à cadeia de suprimentos do Trivy

O que aconteceu

A Cisco sofreu um ciberataque em que agentes de ameaça usaram credenciais roubadas do recente ataque à cadeia de suprimentos do Trivy para violar seu ambiente interno de desenvolvimento. Os atacantes usaram um plugin malicioso do GitHub Action do comprometimento do Trivy para roubar credenciais e dados do ambiente de construção e desenvolvimento da Cisco.

Impacto e resposta

A violação afetou dezenas de dispositivos, incluindo estações de trabalho de desenvolvedores e laboratórios. Mais de 300 repositórios do GitHub foram clonados durante o incidente, incluindo código-fonte para produtos com tecnologia de IA, como AI Assistants, AI Defense e produtos não lançados. Uma parte dos repositórios roubados pertence a clientes corporativos, incluindo bancos, BPOs e agências do governo dos EUA.

Várias chaves da AWS foram supostamente roubadas e usadas para realizar atividades não autorizadas em um pequeno número de contas da AWS da Cisco. A Cisco isolou os sistemas afetados, começou a reimaginá-los e está realizando uma rotação de credenciais em larga escala.

Cadeia de ataque e atribuição

A violação foi causada pelo ataque à cadeia de suprimentos do scanner de vulnerabilidade Trivy deste mês, onde agentes de ameaça comprometeram o pipeline do GitHub do projeto para distribuir malware de roubo de credenciais por meio de lançamentos oficiais e GitHub Actions. Esse ataque permitiu o roubo de credenciais de CI/CD de organizações que usam a ferramenta.

Pesquisadores de segurança vincularam esses ataques à cadeia de suprimentos ao grupo de ameaça TeamPCP com base no uso do infostealer "TeamPCP Cloud Stealer". O TeamPCP vem conduzindo uma série de ataques à cadeia de suprimentos visando plataformas de código de desenvolvedores, incluindo GitHub, PyPi, NPM e Docker. O grupo também comprometeu o pacote LiteLLM PyPI e o projeto Checkmarx KICS para implantar o mesmo malware de roubo de informações.

Preocupações contínuas

Embora a violação inicial tenha sido contida, a Cisco espera consequências contínuas dos ataques subsequentes à cadeia de suprimentos do LiteLLM e Checkmarx. Múltiplas fontes indicaram que mais de um agente de ameaça estava envolvido nas violações de CI/CD e contas da AWS da Cisco, com diferentes graus de atividade.