Trivy

深度分析

Trivy 供應鏈攻擊分析：發佈管道被濫用，波及 Checkmarx 與 Bitwarden

近六週來，Trivy 供應鏈攻擊引發的連鎖效應暴露出供應鏈防護的盲點。攻擊者先入侵發佈管道與被盜 CI 憑證，將帶有竊密功能的惡意版本散布至開發者與企業環境，安全廠商 Checkmarx 與 Bitwarden 均受波及。

深度分析

Trivy 供應鏈被濫用：Checkmarx 與 Bitwarden 遭惡意發佈與憑證濫用分析

近期一次供應鏈事件顯示攻擊者利用受信任的檢測工具作為載體，先入侵Trivy並透過被盜帳號向Checkmarx與Bitwarden等受害者散布惡意程式，惡意程式會在環境中搜尋儲存庫token、SSH金鑰與其他憑證，結果導致安全廠商本身成為放大器，並可能引發更多下游入侵與資料外洩風險。

深度分析

Trivy 惡意發布引發供應鏈連鎖：Checkmarx、Bitwarden 與 TeamPCP/Lapsu$ 影響分析

Trivy漏洞掃描器的供應鏈入侵引發連鎖攻擊，駭客透過受信任工具植入惡意程式並掃描竊取儲存庫金鑰與憑證。TeamPCP販售存取權，Lapsu$隨後發布部分資料，導致Checkmarx與Bitwarden等資安廠商受波及，彰顯安全工具既是目標也是攻擊載具，進一步放大下游風險。

深度分析

從 Trivy 到 Checkmarx/Bitwarden：access-broker 利用憑證散佈惡意套件的攻擊鏈分析

在過去六週內，資安公司 Checkmarx 先後遭受兩次供應鏈攻擊，攻擊者先入侵廣受使用的漏洞掃描器 Trivy，利用其 GitHub 帳號向 Checkmarx 及 Bitwarden 推送惡意套件，竊取儲存庫令牌、SSH 金鑰等憑證。隨後勒索團夥 Lapsu$ 甚至在暗網公開部分資料。

深度分析

Trivy 遭供應鏈攻擊：Git 標籤被強制推送植入惡意程式

Trivy掃描器在本月初遭供應鏈攻擊，攻擊者竊取憑證強制推送75個trivy-action與7個setup‑trivy標籤，植入竊密惡意程式，會加密並上傳GitHub令牌、雲端憑證與SSH金鑰，僅0.35.0版未受影響。此事件突顯供應鏈安全的結構性風險。

深度分析

Trivy 供應鏈攻擊波及 Checkmarx 與 Bitwarden：憑證管理與 CI/CD 防護缺口解析

近六周內資安廠商Checkmarx遭遇多起供應鏈入侵與勒索攻擊。攻擊者先入侵Trivy帳號並篡改標籤，向使用者推送惡意程式，程式會掃描GitHubToken、SSH金鑰等憑證。TeamPCP等組織出售存取權並可能交由Lapsu$進行勒索與資料外洩。此事顯示安全工具同時成為攻擊目標與傳遞管道，恐引發連鎖風險。對開發者生態與供應鏈防護提出重大挑戰。

深度分析

供應鏈攻擊利用 Trivy 標籤強制覆寫：CI/CD 憑證竊取與防護要點

Aqua Security 的 Trivy 漏洞掃描器遭到大規模供應鏈入侵，攻擊者利用先前取得的憑證對 trivy-action 與 setup-trivy 的多個標籤執行強制推送，將原本指向合法提交的標籤改為惡意提交，導致引用這些標籤的 CI/CD 管線在執行掃描時會下載並執行惡意程式。

深度分析

CanisterWorm 蠕蟲結合 Trivy 攻擊與 ICP 智慧合約：TeamPCP 的供應鏈與地緣政治威脅

TeamPCP駭客組織利用自傳播蠕蟲CanisterWorm攻擊開源漏洞掃描工具Trivy，透過InternetComputerProtocol的canister控制伺服器自動散布惡意程式，並內嵌針對伊朗時區的Kamikaze抹除程式，可能導致全球開發流水線與伊朗機器大規模受損。此攻擊凸顯供應鏈安全的脆弱性與地緣政治的交叉威脅。

深度分析

GitHub Actions 標籤被強制推送：Trivy 攻擊技術細節與防禦建議

Trivy是AquaSecurity推出的廣受歡迎的漏洞掃描工具，近期遭供應鏈入侵。攻擊者利用盜取的憑證強制推送75個trivy-action標籤，植入惡意二進位，竊取GitHubToken、雲端憑證與SSH金鑰等機密，並加密回傳至伺服器。此事件可能使開發者的流水線面臨大規模資訊外洩風險。

Trivy

Trivy 漏洞掃描器遭供應鏈攻擊：駭客利用 Git Force-push 篡改 75 個版本標籤

知名漏洞掃描器 Trivy 遭遇嚴重供應鏈攻擊，駭客利用 Git 強制推送篡改 75 個版本標籤，導致 CI/CD 流水線被植入惡意軟體，大規模竊取 GitHub Token 與雲端憑證。專家警告，若使用受影響版本，應立即將所有流水線機密視為已洩漏並重新設定。