#trivy — Public Fediverse posts

So, is everyone just turning on "ignore_unfixed" on container registry vuln scans or how do you ever publish anything? A giant CVE allow list? Add it to a .trivyignore and check back eventually?

#harbor #trivy #containers

Twórcy zabezpieczeń sami padli ofiarą hakerów. Jak atak na Trivy wywołał efekt domina

Kiedy firmy odpowiedzialne za ochronę naszych danych same stają się celem skutecznego ataku, w całej branży zapala się czerwona lampka.

Groźny atak na łańcuch dostaw skompromitował popularne narzędzia dla programistów, uderzając rykoszetem w gigantów cyberbezpieczeństwa – firmy Checkmarx oraz Bitwarden. To dobitny dowód na to, że przestępcy znaleźli nowy, niezwykle skuteczny wektor ataku: infekowanie samych strażników.

Atak na łańcuch dostaw. Złośliwa aktualizacja Bitwarden CLI zagrażała deweloperom

Efekt domina. Jak złośliwy kod zainfekował gigantów

Wszystko zaczęło się w połowie marca od przejęcia konta na GitHubie należącego do Trivy – szeroko wykorzystywanego skanera podatności w kodzie. Hakerzy z grupy TeamPCP wykorzystali ten dostęp, by przemycić złośliwe oprogramowanie bezpośrednio do aktualizacji pobieranych przez użytkowników narzędzia. Malware błyskawicznie zaczął przeczesywać zainfekowane maszyny w poszukiwaniu tokenów dostępu, kluczy SSH i poufnych danych uwierzytelniających.

W ten sposób przestępcy bezszelestnie włamali się do systemów firm Checkmarx oraz Bitwarden (o ataku na ten popularny menedżer haseł pisaliśmy już wcześniej). Zamiast atakować korporacje frontalnie, hakerzy weszli głównymi drzwiami, wykorzystując zaufane oprogramowanie firm trzecich.

Podwójny koszmar Checkmarx. Od kradzieży danych po szantaż

Dla firmy Checkmarx był to zaledwie początek trwającego ponad miesiąc kryzysu. Krótko po pierwszej infekcji, napastnicy przejęli oficjalne konto firmy na GitHubie i zaczęli rozsyłać złośliwy kod dalej – prosto do jej klientów. Choć Checkmarx poinformowało o szybkim załataniu luki, 22 kwietnia sytuacja się powtórzyła, co sugeruje, że intruzi nigdy nie utracili dostępu do infrastruktury.

Jakby tego było mało, do gry wkroczyła niesławna grupa ransomware Lapsu$, która pod koniec kwietnia opublikowała w dark webie prywatne pliki wykradzione z serwerów Checkmarx. Wskazuje to na brutalną rynkową praktykę: grupa TeamPCP najpewniej sprzedała dostęp do przejętej sieci młodym hakerom z Lapsu$, a firma przez tygodnie nie potrafiła zidentyfikować pełnej skali włamania.

Dlaczego hakerzy polują na narzędzia bezpieczeństwa?

Ten incydent obnaża nową strategię cyberprzestępców. Oprogramowanie zabezpieczające jest dziś traktowane przez hakerów jednocześnie jako główny cel i idealny mechanizm dystrybucji wirusów.

Tego typu programy mają z założenia głęboki, uprzywilejowany dostęp do najbardziej wrażliwych danych w systemach korporacyjnych. Atakując zaufane narzędzia, hakerzy jednym celnym ciosem otwierają sobie drzwi do tysięcy kolejnych ofiar w dół łańcucha dostaw. To efekt kaskadowy, który pokazuje, że w dzisiejszym świecie IT nikt nie jest w pełni bezpieczny – nawet ci, którzy ten świat chronią.

#Checkmarx confirms #LAPSUS$ hackers leaked its stolen #GitHub data

https://www.bleepingcomputer.com/news/security/checkmarx-confirms-lapsus-hackers-leaked-its-stolen-github-data/

#cybersecurity #DataBreach #TeamPCP #Trivy

From #trivy to #Checkmarx : Ongoing supply-chain attack targets security, dev tools

Attackers are deliberately targeting the tools developers are told to trust most: security scanners, password managers, and other high-privilege software wired directly into developer environments

https://www.theregister.com/2026/04/27/supply_chain_campaign_targets_security/

Recent software supply chain attacks - yowers!

In March, popular open source tools Trivy and Axios were compromised with malware, and we won't know the full blast radius for months.

Axios was breached by North Korean hackers who turned it into a malware delivery vehicle for about three hours after attackers hijacked a maintainer's account and slipped a remote-access trojan (RAT) into two seemingly legitimate releases.

Trivy was hacked by a loosely knit band of hackers called TeamPCP, who injected credential-stealing malware.

"Attackers are starting to really look at the supply chain and open source packages, and figure out ways to compromise developers to deliver malware or gather data" ... https://www.theregister.com/2026/04/11/trivy_axios_supply_chain_attacks/ #Hackers #Malware #Software #OpenSource #SoftwareSupplyChain #Trojan #CyberSecurity #Security #Trivy #Axios

[Перевод] Отчёт PSF об инциденте атаки на цепочку поставок LiteLLM/Telnyx + рекомендации

В этой статье рассмотрены две недавние атаки на цепочку поставок, направленные на пользователей популярных пакетов PyPI — litellm и telnyx. Также описаны рекомендации разработчикам и сопровождающим Python о том как подготовиться и защитить свои проекты.

https://habr.com/ru/articles/1019638/

#pypi #litellm #telnyx #security #атака_на_цепочку_поставок #best_practices #безопасность #python #trusted_publishers #trivy

The TeamPCP Attack: How One Stolen Token Compromised Trivy, LiteLLM, and 47 npm Packages — What Every Developer Must Do Now

A single stolen automation token let the TeamPCP threat actor inject malicious code into Trivy, LiteLLM, and 47 npm packages in under 72 hours. Here is the full timeline, how to...

https://wowhow.cloud/blogs/teampcp-supply-chain-attack-trivy-litellm-npm-2026

#wowhow #supplychainattack #teampcp #trivy

Guidance for detecting, investigating, and defending against the Trivy supplychain compromise - https://www.redpacketsecurity.com/guidance-for-detecting-investigating-and-defending-against-the-trivy-supplychain-compromise/

#threatintel
#trivy
#supply chain attack
#github actions
#ci/cd security
#credential theft

At the risk of spilling the beans too early... I grew tired of the constant barrage of supply-chain attacks afflicting the open-source community and decided to create a new open-source #malware scanner, named #Litmus.

This is part of a larger vision for intercepting supply-chain attacks, called The #Atomdrift Project. I want to empower everyone, from software marketplaces to teenagers at home, to catch the sorts of attacks we've recently seen against #Trivy and #OpenClaw.

TeamPCP injected malicious code into Trivy, Checkmarx tools, and LiteLLM in a supply chain attack designed to steal cloud credentials, tokens, and crypto wallet data.

Read: https://hackread.com/teampcp-trivy-checkmarx-litellm-credential-theft/

#CyberSecurity #Malware #TeamPCP #Trivy #Checkmarx #LiteLLM

Aqua Security’s Trivy GitHub Action was compromised, and Checkmarx’s KICS too: a reminder that I wrote an Actions audit script that can search for particular Actions and versions run in workflows (or just list all Actions with exact commit versions run in all workflows).

Auditing script:
https://github.com/github/audit-actions-workflow-runs

StepSecurity blogs in the thread 🧵

#Actions #SupplyChain #SCA #Malware #Trivy #KICS

Trivy under attack again: Widespread GitHub Actions tag compromise secrets

https://socket.dev/blog/trivy-under-attack-again-github-actions-compromise

#HackerNews #Trivy #GitHubActions #Cybersecurity #Compromise #Secrets #SecurityThreats

Now sure how much #AquaSecurity has cost the software industry by not rotating their keys after already being exploited - but at the time of posting there is at least 188 people in an internal channel related to their repos being exposed, and that's just our part of IKEA. I'd estimate for us it's at least €150k-€200k just for today wasted because the entire software industry seems to treat security as 'something to be done' instead of at the heart of everything we do. #trivy #secOps

‘CanisterWorm’ Springs Wiper Attack Targeting Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#InternetComputerProtocol #Ne'er-Do-WellNews #ALittleSunshine #LatestWarnings #TheComingStorm #CatalinCimpanu #CharlieEriksen #AquaSecurity #CanisterWorm #Ransomware #AssafMorag #TeamPCP #Aikido #Flare #Trivy #ICP

‘CanisterWorm’ Springs Wiper Attack Targeting Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#InternetComputerProtocol #Ne'er-Do-WellNews #ALittleSunshine #LatestWarnings #TheComingStorm #CatalinCimpanu #CharlieEriksen #AquaSecurity #CanisterWorm #Ransomware #AssafMorag #TeamPCP #Aikido #Flare #Trivy #ICP

‘CanisterWorm’ Springs Wiper Attack Targeting Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#InternetComputerProtocol #Ne'er-Do-WellNews #ALittleSunshine #LatestWarnings #TheComingStorm #CatalinCimpanu #CharlieEriksen #AquaSecurity #CanisterWorm #Ransomware #AssafMorag #TeamPCP #Aikido #Flare #Trivy #ICP

‘CanisterWorm’ Springs Wiper Attack Targeting Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#InternetComputerProtocol #Ne'er-Do-WellNews #ALittleSunshine #LatestWarnings #TheComingStorm #CatalinCimpanu #CharlieEriksen #AquaSecurity #CanisterWorm #Ransomware #AssafMorag #TeamPCP #Aikido #Flare #Trivy #ICP

‘CanisterWorm’ Springs Wiper Attack Targeting Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#InternetComputerProtocol #Ne'er-Do-WellNews #ALittleSunshine #LatestWarnings #TheComingStorm #CatalinCimpanu #CharlieEriksen #AquaSecurity #CanisterWorm #Ransomware #AssafMorag #TeamPCP #Aikido #Flare #Trivy #ICP

https://winbuzzer.com/2026/03/23/trivy-breach-pushed-infostealer-via-github-actions-xcxwbn/

Trivy Breached Twice in a Month via GitHub Actions

#GitHub #GitHubActions #Cybersecurity #Malware #Cybercrime #SecurityBreach #OpenSource #Hackers #npm #Javascript #SoftwareDevelopment #CloudComputing #DataBreaches #Trivy #AquaSecurity #TeamPCP #CanisterWorm

#Trivy vulnerability scanner breach pushed infostealer via GitHub Actions

You need to check your installation ASAP

#adminlife #docker #podman #security #opensource

https://www.bleepingcomputer.com/news/security/trivy-vulnerability-scanner-breach-pushed-infostealer-via-github-actions/

Trivy ecosystem supply chain briefly compromised

https://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23

#HackerNews #Trivy #Ecosystem #Supply #Chain #Compromise #Cybersecurity #Vulnerability #SupplyChainSecurity #AquaSecurity

Trivy Security incident 2026-03-19

https://github.com/aquasecurity/trivy/discussions/10425

#HackerNews #Trivy #Security #incident #2026-03-19 #cybersecurity #Trivy #security #incident #news #security #vulnerabilities #GitHub #discussions

Безопасность маленьких проектов

Привет, Хабр! Я заметила, что в стартап-культуре и среди небольших команд бытует миф: «Мы слишком малы, чтобы нас атаковали». Я считаю, что сейчас это одно из опаснейших заблуждений, поэтому и решила написать статью, чтобы поделиться своими мыслями и некоторыми знаниями на эту тему.

https://habr.com/ru/companies/timeweb/articles/966650/

#nginx #безопасность #кибербезопасность #trivy #проект #java #petproject #timeweb_статьи

Hi there,

If you will be able to use any tech stack for #cicd what you will use? I’m especially interested in #dast part, for static part #trivy and #checkov seems to be solid partners, but for dynamic scans I’m still searching…

#security

Что помогает разработчику писать безопасный код: обзор инструментов

Современное производство программного обеспечения — сложный процесс, от разработчика требуется не только писать код, но и справляться с целым комплексом сопутствующих задач: отслеживать изменения, проводить тестирование, соблюдать стилистические правила и внутренние стандарты, учитывать безопасность и применять best practices по обеспечению ИБ уже во время написания кода. Но есть и хорошие новости. Разработчику доступно большое число инструментов, которые упрощают труд: от линтеров до анализаторов и систем автоматизированного тестирования — все они встраиваются в среду разработки и помогают решать сложные задачи, не отвлекаясь от творческой части работы. В этой статье я, Евгений Иляхин, архитектор процессов безопасной разработки в Positive Technologies, как раз расскажу о крайне полезных инструментах, которые автоматизируют рутину и повышают качество кода, позволяя программисту сосредоточиться на разработке новой фичи или поиске оптимального решения. Читать

https://habr.com/ru/companies/pt/articles/891400/

#безопасная_разработка #appsec #devsecops #sonarlint #semgrep #gitleaks #gitsecret #trivy #secret_scanner #owasp_zap

A lot of people seem to be hit by #GitHub's (#GHCR) rate limit when scanning images with #trivy.

As it occurs even when logged in and even when pulling the image itself (i.e. not only for the database), my guess is that it is a global rate limit on the GHCR repo aquasecurity (ghcr.io/aquasecurity)

Here are some pointers:

https://github.com/aquasecurity/trivy/pull/7580

https://github.com/orgs/community/discussions/139074

A lot of people seem to be hit by #GitHub's (#GHCR) rate limit when scanning images with #trivy.

As it occurs even when logged in and even when pulling the image itself (i.e. not only for the database), my guess is that it is a global rate limit on the GHCR repo aquasecurity (ghcr.io/aquasecurity)

Here are some pointers:

https://github.com/aquasecurity/trivy/pull/7580

https://github.com/orgs/community/discussions/139074

A lot of people seem to be hit by #GitHub's (#GHCR) rate limit when scanning images with #trivy.

As it occurs even when logged in and even when pulling the image itself (i.e. not only for the database), my guess is that it is a global rate limit on the GHCR repo aquasecurity (ghcr.io/aquasecurity)

Here are some pointers:

https://github.com/aquasecurity/trivy/pull/7580

https://github.com/orgs/community/discussions/139074

A lot of people seem to be hit by #GitHub's (#GHCR) rate limit when scanning images with #trivy.

As it occurs even when logged in and even when pulling the image itself (i.e. not only for the database), my guess is that it is a global rate limit on the GHCR repo aquasecurity (ghcr.io/aquasecurity)

Here are some pointers:

https://github.com/aquasecurity/trivy/pull/7580

https://github.com/orgs/community/discussions/139074

A lot of people seem to be hit by #GitHub's (#GHCR) rate limit when scanning images with #trivy.

As it occurs even when logged in and even when pulling the image itself (i.e. not only for the database), my guess is that it is a global rate limit on the GHCR repo aquasecurity (ghcr.io/aquasecurity)

Here are some pointers:

https://github.com/aquasecurity/trivy/pull/7580

https://github.com/orgs/community/discussions/139074

Yup. The nightly build is there. I'm pretty confident that the #automatedBuild will run too. :blobcatgiggle:

I've added #trivy #opensource #vulnerability scanner. It will run on schedule for testing and will be later included into the #cd #pipeline. The #sarif report will be attached to madnuttah bot's releases as build artifact.

#unbound #dns #dnssec #workflow #github #transparency

https://github.com/madnuttah/unbound-docker

Das folgende #tool richtet sich an alle, die mehr #Sicherheit für ihre #Software suchen. Mit #Trivy kann man sich auf die Suche nach #Sicherheitsproblemen in seinem #Code begeben. Praktisch ist es, #Git Repositorys auf solche Probleme scannen zu können um Sicherheitsprobleme bei verwendeter Software zu entdecken.

https://aquasecurity.github.io/trivy/v0.42/

#toolsday #security

If you ever wonder how #Trivy and #Grype compare, #GitLab did a pretty nice point-in-time comparison: https://gitlab.com/gitlab-org/gitlab/-/issues/327174

#infosec #ContainerSecurity #VulnerabilityScanner