“현재 증거에 따르면 이 데이터는 Checkmarx의 GitHub 리포지토리에서 유래했으며 해당 리포지토리에 대한 액세스는 2023년 3월 23일의 초기 공급망 공격을 통해 촉진되었습니다.”라고 Checkmarx는 월요일에 말했습니다. 회사는 어떤 종류의 데이터가 유출되었는지 밝히지 않았습니다.
Checkmarx는 Trivy 침해로 인해 피해를 입은 유일한 보안 회사가 아닙니다. 소켓은 또 다른 보안업체인 비트워든(Bitwarden)도 같은 공급망 공격을 받았다고 말했다. 페이로드가 Checkmarx 악성코드와 동일한 C2 엔드포인트 및 핵심 인프라를 사용했기 때문에 Socket은 Bitwarden 침해를 Trivy 캠페인과 연결했습니다.
Bitwarden은 악성 패키지가 “npm 전달 경로를 통해 잠시 배포되었습니다. @bitwarden/[email protected] 2026년 4월 22일 오후 5시 57분부터 오후 7시 30분(ET) 사이.”
Trivy 공격은 스스로를 TeamPCP라고 부르는 그룹에 의해 수행되었습니다. 이 그룹은 가장 성공적인 액세스 브로커 활동 중 하나로, 피해자의 자격 증명을 부수고 훔쳐 다른 해커에게 판매하는 해커 그룹입니다. 그 상승세의 핵심은 이미 접근 권한을 갖고 있는 도구를 표적으로 삼는 것입니다.
Checkmarx의 경우 TeamPCP는 Lapsu$에 액세스 자격 증명을 판매한 것으로 보입니다. 이 랜섬웨어 그룹은 주로 10대들로 구성되어 있으며, 성공하면 조롱하고 허풍을 떨며 대기업을 침해하는 기술로도 잘 알려져 있습니다.
사건은 단일 위반이 미칠 수 있는 연쇄적인 영향을 보여줍니다. Checkmarx와 Bitwarden이 모두 영향을 받으면 고객이나 파트너에 대한 새로운 공격이 있을 수 있으며 이로 인해 더 많은 다운스트림 손상이 발생할 수 있습니다. Socket CEO인 Feross Aboukhadijeh는 이메일을 통해 보안 조직의 제품이 민감한 데이터에 가깝고 인터넷을 통해 널리 배포되기 때문에 보안 조직이 특별한 표적이 된다고 말했습니다.
Aboukhadijeh는 “이러한 타협 전반에 걸쳐 이와 동일한 스레드를 보게 될 것입니다.”라고 말했습니다. “공격자들은 보안 도구를 표적이자 전달 메커니즘으로 취급하고 있습니다. 그들은 공급망을 보호해야 하는 제품을 공격한 후 동일한 제품을 사용하여 자격 증명을 훔치고 다음 피해자에게 이동합니다.”
이 주제에 대해 더 알고 싶다면 아래를 참고하세요
