Son Gelişmeler
Kısa bir süre önce, GitHub Actions iş akışlarının iki tanesi, TeamPCP adlı bir tehdit aktörü tarafından hedef alınarak kimlik bilgilerini çalan kötü amaçlı yazılım ile kompakt hale getirildi. Bu olay, bulut tabanlı siber suçluların Trivy tedarik zinciri saldırısının arkasındaki isim olmasıyla dikkat çekiyor.
Saldırı Nasıl Çalışıyor?
Siber güvenlik şirketi Sysdig, TeamPCP’nin Aqua Security’nin Trivy zafiyet tarayıcısını hedef alarak gerçekleştirdiği saldırıda kullanılan kimlik bilgi hırsızlayıcısının, 19 Mart 2026 tarihinde meydana gelen ihlalin ardından dört gün içinde benzeri bir biçimde tespit edildiğini belirtti. Trivy’nin tedarik zinciri komprom sırası, CVE-2026-33634 (CVSS skoru: 9.4) ile izleniyor.
Kimlik bilgilerini çalan yazılım, “TeamPCP Cloud stealer” olarak adlandırılmaktadır ve şu bilgileri hedef alır:
- SSH anahtarları
- Git bilgileri
- Amazon Web Services (AWS)
- Google Cloud
- Microsoft Azure
- Kubernetes
- Docker
- .env dosyaları
- Veritabanları
- VPN’ler
- CI/CD yapılandırmaları
- Kripto para cüzdanlarından veriler
- Slack ve Discord webhook URL’leri
TeamPCP, kötü niyetli kütüğe zararlı yük “setup.sh” içeren etiketler itmekte. Çalınan veriler, “checkmarx[.]zone” sunucusuna şifreli bir arşiv (“tpcp.tar.gz”) şeklinde sızdırılmaktadır. Ele geçirilen veriler, saldırganların CI/CD iş akışındaki Trivy eylemi çalıştığında, GitHub kişisel erişim jetonlarını (PAT) ve diğer gizlilik bilgilerini çıkarmasını kolaylaştırır.
Etkilenen Sistemler
Saldırı, “cx-plugins-releases” hizmet hesabının ele geçirilmesi yoluyla gerçekleştirildi gibi görünmektedir. Üçüncü taraf ast-results (sürüm 2.53.0) ve cx-dev-assist (sürüm 1.7.0) Open VSX uzantılarının trojan versiyonları yayınlanmıştır. Ancak, VS Code Marketplace sürümleri etkilenmemiştir.
Kötü amaçlı yük, kurbanın en az bir bulut hizmet sağlanıcısı için kimlik bilgilerine sahip olup olmadığını kontrol eder. Eğer herhangi bir kimlik bilgisi tespit edilirse, aynı alan adından bir sonraki aşama yükü alınır.
Çözüm ve Korunma
Bu tehditten korunmak için kullanıcıların derhal aşağıdaki adımları uygulamaları önerilmektedir:
- Tüm gizli bilgileri, jetonları ve bulut kimlik bilgilerini, etkilenen süre boyunca CI runner’lar tarafından erişilenlerle değiştirme.
- GitHub Actions iş akışlarını, runner günlüklerinde tpcp.tar.gz, scan.aquasecurity[.]org veya checkmarx[.]zone anahtar kelimeleri için denetleme.
- “tpcp-docs” veya “docs-tpcp” adındaki depoları arama; bu depo adları, yedek mekanizma aracılığıyla başarılı bir sızmanın gösterge işareti olabilir.
- GitHub Actions’ları, sürüm etiketleri yerine tam commit SHAlarına sabitleme, çünkü etiketler zorla itilebilir.
- CI runner’lardan şüpheli alan adlarına dışa dönük ağ bağlantılarını izleme.
- IMDSv2 kullanarak CI runner konteynerlerinden Instance Metadata Service (IMDS) erişimini kısıtlama.
Sonuç itibariyle, TeamPCP’nin Trivy içeren kötü niyetli Docker görüntülerini itmesi ve “aquasec-com” GitHub organizasyonunu ele geçirerek birçok iç veriyi bozması, tedarik zinciri güvenliği açısından ciddi bir tehdit oluşturmaktadır. Okuyucular, bu olayların ciddiyetinden haberdar olarak gerekli önlemleri almaya özen göstermelidir.
