Tehdit aktörü ‘TeamPCP’ye atfedilen büyük bir tedarik zinciri saldırısı, 19 Mart 2026'dan itibaren Aqua Security’nin Trivy güvenlik açığı tarayıcısını ve en az iki diğer çerçeveyi tehlikeye attı. Saldırganlar, CI/CD hatlarını ele geçirmek için GitHub’ın depo etiketi işlevini kötüye kullanarak kimlik bilgisi çalan kötü amaçlı yazılım enjekte etti. Bu kampanya, güvenilir güvenlik araçlarını yaygın kimlik bilgisi hırsızlığı için bir vektöre dönüştürdü ve her üç büyük bulut sağlayıcısının gizli verilerini hedef aldı.
Microsoft Defender for Cloud ekibi bir güvenlik blogunda, "Bu faaliyet o zamandan beri Checkmarx KICS ve LiteLLM dahil olmak üzere ek çerçevelere yayıldı" diyerek her dalgada temel saldırı zincirinin benzer kaldığını belirtti. "Her dalga, tehlikeye atılan projeye uygun temalı yeni bir C2 alanı kullandı."
Saldırganlar, aquasecurity/trivy-action GitHub deposundaki 77 sürüm etiketinden 76'sını ve aquasecurity/setup-trivydeki yedi etiketin tamamını zorla push (force-push) ederek kötü amaçlı koda yönlendirdi. Kötü amaçlı bir Trivy ikili dosyası (versiyon 0.69.4) da resmi kanallarda yayınlandı. Kötü amaçlı yazılım, AWS, GCP ve Azure bulut kimlik bilgilerini ve Kubernetes gizli anahtarlarını scan.aquasecurtiy[.]org gibi taklit edilmiş alan adlarına sızdırdı.
Saldırı, güvenilir güvenlik ve geliştirme araçlarını içeriden gelen tehditlere dönüştürerek, tehlikeye atılan sürümleri içeren otomatik CI/CD hatlarını kullanan her kuruluş için önemli bir risk oluşturuyor. Geniş kapsamlı kimlik bilgisi toplamaya odaklanılması, aktörün amacının takip eden saldırılar için bulut altyapısına yaygın erişim sağlamak olduğunu gösteriyor; toplam etki alanı ise hala araştırılıyor.
Değiştirilebilir Etiketler Nasıl Silaha Dönüştü?
Saldırı, Git'in temel bir tasarım özelliğini istismar etti: değiştirilebilir etiketler (mutable tags). Varsayılan olarak, belirli bir yazılım sürümüne işaret eden bir etiket, bir depoya push erişimi olan herkes tarafından yeniden atanabilir. Tehdit aktörü, ele geçirilmiş kimlik bilgilerini kullanarak trivy-actionın 76 mevcut sürümünü ve setup-trivynin tüm sürümlerini, kötü amaçlı yükü içeren yeni commit'lere (işlem kayıtlarına) işaret edecek şekilde yeniden etiketledi.
Bu eylemlere sürüm etiketiyle atıfta bulunan alt akış CI/CD iş akışları, GitHub'ın kullanıcı arayüzünde geliştiricileri uyaracak görünür bir değişiklik olmadan, bir sonraki çalıştırmalarında otomatik olarak saldırganın kodunu çekti. Aktör ayrıca commit kimliğini de sahteleyerek kötü amaçlı commit'lerin meşru görünmesini sağladı; bu taktik daha önce diğer tedarik zinciri saldırılarında da görülmüştü. Bu yöntem, tipik sürüm kontrolünü atlayarak kötü amaçlı yazılımın sessizce yayılmasına olanak tanıyor.
Çok Aşamalı Kimlik Bilgisi Soygunu
Bir CI/CD çalıştırıcısı içinde yürütüldüğünde, kötü amaçlı yazılım geniş spektrumlu bir kimlik bilgisi toplama operasyonu başlattı. Ana makinenin parmak izini aldıktan sonra, Python tabanlı bir hırsızlık yazılımı Amazon Web Services, Google Cloud Platform ve Microsoft Azure için kimlik bilgilerini aradı ve hem ortam değişkenlerini hem de örnek meta veri hizmetlerini sorguladı.
Kötü amaçlı yazılım sadece bulut anahtarlarıyla sınırlı kalmadı. Ayrıca Kubernetes gizli anahtarlarını listeledi ve sızdırdı, dosya sisteminde yapılandırma dosyalarındaki API anahtarlarını aradı ve Slack ile Discord webhook URL'lerini topladı. Çalınan veriler bir tpcp.tar.gz arşivinde şifrelendi ve HTTP POST aracılığıyla saldırganın kontrolündeki bir sunucuya gönderildi. İhlali gizlemek için kötü amaçlı yazılım daha sonra meşru Trivy tarayıcısını çalıştırarak hattın beklenen çıktıyla başarıyla tamamlanmasını sağladı.
Azaltma ve Etkilenen Sürümler
Kuruluşların derhal CI/CD hatlarını denetlemeleri ve etkilenen araçların doğrulanmış güvenli sürümlerini çalıştırdıklarından emin olmaları istenmektedir. Eylemleri değiştirilebilir sürüm etiketleri yerine değiştirilemez commit SHA'larına sabitlemek en kritik önleyici tedbirdir.
Microsoft, etkilenen ürünlerin ve kullanılması gereken minimum güvenli sürümlerin aşağıdaki tablosunu sağlamıştır:
| Ürün | Bileşen | Güvenli Sürüm |
|---|
| Trivy | Trivy binary | v0.69.2 – v0.69.3 |
| trivy-action | v0.35.0 |
| setup-trivy | v0.2.6 |
| LiteLLM | litellm | v1.82.6 ve altı |
| Checkmarx | checkmarx.cx-dev-assist | 1.10.0 ve üzeri |
| checkmarx.ast-results | 2.56.0 ve üzeri |
| ast-github-action | 2.3.33 |
| kics-github-action | 2.1.20 |
Güvenlik ekipleri ayrıca saldırı göstergelerini de tarayabilir. Microsoft Defender müşterileri, kötü amaçlı komutları, saldırgan alan adlarına yönelik şüpheli DNS sorgularını ve Kubernetes gizli anahtarlarının listelenmesini bulmak için gelişmiş avlanma sorgularını kullanabilir. Örneğin, aşağıdaki sorgu TeamPCP saldırılarıyla ilişkili komut satırlarını belirlemeye yardımcı olabilir:
CloudProcessEvents | where ProcessCommandLine has_any ('scan.aquasecurtiy.org','checkmarx.zone','tpcp.tar.gz')
Bu olay, yazılım tedarik zincirinin kırılganlığını hatırlatan kritik bir uyarıdır. Yatırımcılar için, sıkı doğrulama süreçleri olmaksızın açık kaynaklı yazılımlara yoğun şekilde bağımlı olan şirketlerin operasyonel ve finansal risklerini vurgulamaktadır. Tehlikeye atılan araçları kullandığı tespit edilen şirketler, önemli iyileştirme maliyetleri, potansiyel veri ihlali yükümlülükleri ve müşteri güveni kaybıyla karşı karşıya kalabilir ve bu da hisse senedi performanslarını etkileyebilir. Aksine, olay Palo Alto Networks (PANW) veya CrowdStrike (CRWD) gibi tedarik zinciri güvenliği ve bulut iş yükü koruması konusunda uzmanlaşmış siber güvenlik firmaları için bir itici güç olabilir.
Bu makale sadece bilgilendirme amaçlıdır ve yatırım tavsiyesi teşkil etmez.
Edgen Stock·Mar 31 2026, 10:06