Компания Cisco подверглась крупномасштабной кибератаке со стороны хакерской группировки TeamPCP. Используя вредонос TeamPCP Cloud Stealer, злоумышленники взломали средство безопасности Trivy, что открыло им доступ к защищаемым проектам. Добычей киберпреступников стал исходный код самой Cisco и некоторых её клиентов.
Источник изображения: Kevin Ku / unsplash.com
Эксперты в области кибербезопасности из отделов Cisco Unified Intelligence Center, CSIRT и EOC обнаружили проникновение, связанное с плагином GitHub Action, который стал вредоносным после взлома Trivy через атаку на цепочку поставок — один из компонентов продукта. Этот плагин помог похитить учётные данные из сред разработки и сборки ПО, затронув десятки систем, в том числе рабочие станции разработчиков и сотрудников лабораторий. Первоначальный взлом удалось локализовать, но его последствия остаются актуальными из-за последовавших за ним проникновений в код библиотеки LiteLLM и средства Checkmarx KICS.
Злоумышленники успели украсть несколько ключей доступа к платформе Amazon Web Services (AWS) и совершить несанкционированные действия в ряде учётных записей Cisco на платформе AWS. Специалисты Cisco изолировали пострадавшие системы и проводят масштабную ротацию учётных данных. В ходе инцидента киберпреступники клонировали более 300 репозиториев GitHub, в том числе хранилища исходного кода ИИ-продуктов компании, таких как AI Assistants, AI Defense, а также невыпущенных проектов. Некоторые репозитории, предположительно, принадлежат клиентам Cisco, в том числе банкам, госучреждениям США и сервисам аутсорсинга бизнес-процессов.
Ответственность за произошедшее исследователи возложили на группировку TeamPCP. Сейчас она развернула целую серию атак на цепочку поставок, пытаясь взломать такие платформы как GitHub, PyPi, NPM и Docker.