TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
กลุ่มแฮกเกอร์ TeamPCP ยังคงโจมตี Aqua Security อย่างต่อเนื่อง โดยล่าสุดได้ปล่อย Docker Image ที่ฝัง Malware ขึ้น Docker Hub พร้อมทั้งเข้ายึด GitHub Organization ของบริษัทเพื่อแก้ไข Repository หลายสิบรายการ
เหตุการณ์นี้เป็นผลต่อเนื่องจากการโจมตี Supply Chain ของ Trivy ซึ่งเป็นเครื่องมือ Vulnerability Scanner ยอดนิยมจาก Aqua Security ที่มีผู้ใช้งานอย่างแพร่หลายและมี Star บน GitHub กว่า 33,800 โดย Trivy ถูกใช้ในการตรวจจับช่องโหว่ การตั้งค่าที่ผิดพลาด และ Secret ที่หลุดรอดใน Software Artifact และโครงสร้างพื้นฐานต่าง ๆ ทีมวิจัยจาก Socket ระบุว่าพบ Trivy Artifact ที่ถูกดัดแปลงเผยแพร่อยู่บน Docker Hub โดยมี Image Tag 0.69.5 และ 0.69.6 ที่ถูก Push ขึ้นมาเมื่อวันที่ 22 มีนาคม โดยไม่มี GitHub Release หรือ Tag ที่เกี่ยวข้องรองรับ ซึ่ง Image ทั้งสองมี Indicator of Compromise ที่เกี่ยวข้องกับ Infostealer ที่ TeamPCP ปล่อยออกมา โดย Trivy เวอร์ชันล่าสุดที่ถูกต้องคือ 0.69.3
ในส่วนของการเข้าถึง GitHub Organization นั้น Aqua Security ระบุว่าผู้โจมตีสามารถกลับเข้ามาได้เนื่องจากการ Contain เหตุการณ์ก่อนหน้าไม่สมบูรณ์ แม้จะมีการ Rotate Secret และ Token แล้ว แต่กระบวนการไม่ได้ทำแบบ Atomic ทำให้ผู้โจมตีอาจเข้าถึง Token ที่ถูก Refresh ได้ จากการวิเคราะห์ของ OpenSourceMalware พบว่า TeamPCP เข้าถึง Organization ชื่อ aquasec-com ซึ่งเป็นที่เก็บ Proprietary Code ของบริษัท โดยใช้เวลาเพียงประมาณ 2 นาทีในการเปลี่ยนชื่อ Repository ทั้ง 44 รายการให้มี Prefix ว่า tpcp-docs- พร้อมเปลี่ยน Description เป็น “TeamPCP Owns Aqua Security” ทั้งนี้ผู้โจมตีเข้าถึงระบบผ่าน Service Account ชื่อ Argon-DevOps-Mgt ที่ใช้ Personal Access Token (PAT) ซึ่งมีอายุการใช้งานยาวนานกว่า GitHub App Token และไม่มีการป้องกันด้วย MFA
Aqua Security ระบุว่ายังไม่พบหลักฐานว่า Trivy เวอร์ชันที่ใช้ในผลิตภัณฑ์เชิงพาณิชย์ได้รับผลกระทบ เนื่องจาก Trivy เวอร์ชัน Commercial ถูกออกแบบให้ล่าช้ากว่าเวอร์ชัน Open Source พร้อมกระบวนการ Integration ที่มีการควบคุม อย่างไรก็ตามบริษัทจะเผยแพร่รายละเอียดเพิ่มเติมในวันอังคาร ทั้งนี้ผู้ดูแลระบบที่ใช้งาน Trivy ควรตรวจสอบ Indicator of Compromise ที่ OpenSourceMalware เผยแพร่ไว้ และไม่ควรพึ่งพาเฉพาะชื่อ Tag บน Docker Hub ในการยืนยันความถูกต้องของ Image
