Cybersecurity researchers have discovered more malicious artifacts on Docker Hub related to a supply chain attack targeting the vulnerability scanner Trivy. This incident not only involves malware distribution but also extends to CI/CD pipelines, internal GitHub organizations, and Kubernetes infrastructure, indicating a serious level of spread. The last confirmed safe version of Trivy is 0.69.3. Versions:

• 0.69.4 (removed)
• 0.69.5
• 0.69.6

all contain malware and are no longer safe to use.

Docker Hub exploited to distribute malware

The malicious Trivy images (0.69.5, 0.69.6) were pushed to Docker Hub without corresponding releases on GitHub, indicating clear signs of a breach.

Analysis shows these images contain:

• Fake C2 domain: scan.aquasecurtiy.org (typosquatting)
• File exfiltration: payload.enc, tpcp.tar.gz
• Link to GitHub repo backdoor: tpcp-docs-*

Notably, even though these images have been removed, they still persist through cache/mirror (e.g., mirror.gcr.io), causing many pipelines to inadvertently pull the malicious version.

Nguồn gốc: Tấn công GitHub Actions của Trivy

The attack originated from:

• The attacker took over Trivy's GitHub Actions
• Injected credential-stealing code into:
  • aquasecurity/trivy-action
  • aquasecurity/setup-trivy

This payload is designed to:

• Collect GitHub tokens
• Obtain SSH keys
• Extract cloud credentials
• Gather environment variables from CI runners

Escalation: From token theft to taking over GitHub organizations

A significant escalation step was the attacker using the stolen token to take over the internal GitHub organization aquasec-com.

Consequences:

• 44 repositories were:
  • Rename en masse with the prefix tpcp-docs-
  • Change description to: "TeamPCP Owns Aqua Security"
  • Make all public

Notably:

The entire action took place in about 2 minutes (20:31 → 20:32 UTC, 03/22/2026) → proving:

• The attack was fully automated (scripted via GitHub API)
• Thoroughly prepared in advance.

Core weakness: Service account was compromised

The trace origin shows:

• Account was compromised: Argon-DevOps-Mgt

• This is a service account using a long-term token (PAT)
• Has access to both organizations:
  • aquasecurity (public)
  • aquasec-com (internal)

=> Just one leaked token can lead to the entire system being compromised.

Signs of reconnaissance before the attack

7 hours before the defacement:

• Attacker created and deleted a "ghost" branch.: update-plugin-links-v0.218.2
• No workflow triggered
• No actual release exists

=> This was a test of the token to check access rights without drawing attention.

Expansion: Worm, npm packages, and wiper malware

After obtaining the credential:

1. Spread worm (CanisterWorm)

• Infects through npm packages
• Spreads within the dev ecosystem
• Uses ICP (Internet Computer) as C2

2. Wiper malware “kamikaze”

Payload mới nguy hiểm hơn:

• Main target: Kubernetes clusters (especially in Iran)
• Behavior:
  • Deploy DaemonSet across the entire cluster
  • Iran Node:
    • Wipe completely (rm -rf /)
    • Force reboot
  • Other Nodes: Install backdoor (systemd service)

3. Attack cloud infrastructure

TeamPCP also:

• Exploit Docker API (port 2375)
• Attack Redis, Ray dashboard
• Use a stolen SSH key
• Deploy:
  • Cryptomining Ransomware
  • Data exfiltration

Threat Actor: TeamPCP

TeamPCP (aka DeadCatx3, PCPcat, ShellForce) is a cloud-native attack group with increasingly advanced capabilities.

Key features:

• Specializes in:
  • Kubernetes
  • Docker
  • CI/CD pipelines
• Pioneer: Worm uses ICP as C2
• Tactics:
  • Supply chain attack
  • Credential harvesting
  • Large-scale automation

Scope of impact

• Not only the official image is affected.
• Images:
  • CI/CD rebuild from Trivy
  • Fork / derivative

=> May have indirectly infected with malware

Recommendations

FPT Threat Intelligence provides the following recommendations that must be implemented immediately:

• Do not use Trivy versions above 0.69.3
• Rotate all:
  • GitHub tokens
  • SSH keys
  • Cloud credentials
• Check CI/CD runners:
  • /tmp/pglog
  • Connect to ICP domain
• More secure configuration
  • Pin GitHub Actions using commit SHA (avoid using tags)
  • Use short-lived tokens
  • Apply least privilege
  • Monitor pipeline like production
• Check the system
  • Audit all:
    • CI/CD pipelines
    • Recently pulled Docker images
  • Check:
    • Kubernetes clusters
    • Docker API public (port 2375)

Conclusion

This is a prime example of a "long-tail supply chain attack":

• A previously stolen credential
• Reused for:
  • Take over GitHub org
  • Distribute malware
  • Attack cloud infrastructure

This shows that the biggest weakness isn't a technical vulnerability, but rather:

Service account with overly broad permissions + long-lived token

Reference

• https://opensourcemalware.com/blog/teampcp-aquasec-com-github-org-compromise
• https://socket.dev/blog/trivy-docker-images-compromised
• https://thehackernews.com/2026/03/trivy-hack-spreads-infostealer-via.html

Các nhà nghiên cứu an ninh mạng đã phát hiện thêm nhiều artifact độc hại trên Docker Hub liên quan đến vụ tấn công supply chain nhắm vào công cụ quét lỗ hổng Trivy. Sự cố này không chỉ dừng lại ở việc phát tán mã độc, mà còn mở rộng sang CI/CD pipelines, GitHub organization nội bộ và hạ tầng Kubernetes, cho thấy mức độ lan rộng nghiêm trọng.

Phiên bản Trivy cuối cùng được xác nhận an toàn là 0.69.3. Các phiên bản:

• 0.69.4 (đã bị gỡ)

• 0.69.5

• 0.69.6

đều chứa mã độc và không còn an toàn để sử dụng.

Docker Hub bị lợi dụng để phát tán mã độc

Các image Trivy độc hại (0.69.5, 0.69.6) được push lên Docker Hub mà không có release tương ứng trên GitHub, cho thấy dấu hiệu rõ ràng của việc bị xâm nhập.

Phân tích cho thấy các image này chứa:

• Domain C2 giả mạo: scan.aquasecurtiy.org (typosquatting)

• File exfiltration: payload.enc, tpcp.tar.gz

• Liên kết đến GitHub repo backdoor: tpcp-docs-*

Đáng chú ý, dù đã bị xóa, các image này vẫn tồn tại qua cache/mirror (ví dụ mirror.gcr.io), khiến nhiều pipeline vẫn vô tình pull về bản độc hại.

Nguồn gốc: Tấn công GitHub Actions của Trivy

Cuộc tấn công bắt nguồn từ việc:

• Kẻ tấn công chiếm quyền GitHub Actions của Trivy

• Inject mã đánh cắp credential vào:

  • aquasecurity/trivy-action

  • aquasecurity/setup-trivy

Payload này được thiết kế để:

• Thu thập GitHub token

• Lấy SSH keys

• Trích xuất cloud credentials

• Thu thập biến môi trường từ CI runners

Leo thang: Từ đánh cắp token → chiếm quyền GitHub org

Một bước leo thang quan trọng là việc attacker sử dụng token bị đánh cắp để chiếm quyền GitHub organization nội bộ aquasec-com.

Hậu quả:

• 44 repository bị:

  • Rename hàng loạt với prefix tpcp-docs-

  • Đổi description thành: "TeamPCP Owns Aqua Security"

  • Public hóa toàn bộ

Đáng chú ý:

Toàn bộ hành động diễn ra trong ~2 phút (20:31 → 20:32 UTC, 22/03/2026) → chứng tỏ:

• Tấn công hoàn toàn tự động (script qua GitHub API)

• Được chuẩn bị kỹ trước đó

Điểm yếu cốt lõi: Service account bị compromise

Nguồn gốc truy vết cho thấy:

• Account bị compromise: Argon-DevOps-Mgt

• Đây là service account dùng token dài hạn (PAT)

• Có quyền truy cập cả 2 organization:

  • aquasecurity (public)

  • aquasec-com (internal)

=> Chỉ cần 1 token bị lộ → toàn bộ hệ thống bị kiểm soát

Dấu hiệu reconnaissance trước tấn công

7 giờ trước khi deface:

• Attacker tạo và xóa một branch “ghost”: update-plugin-links-v0.218.2

• Không trigger workflow

• Không tồn tại release thật

=> Đây là hành vi test token để kiểm tra quyền truy cập mà không gây chú ý.

Mở rộng: Worm, npm packages và wiper malware

Sau khi có được credential:

1. Phát tán worm (CanisterWorm)

• Lây nhiễm qua npm packages

• Tự lan rộng trong hệ sinh thái dev

• Dùng ICP (Internet Computer) làm C2

2. Wiper malware “kamikaze”

Payload mới nguy hiểm hơn:

• Target chính: Kubernetes clusters (đặc biệt tại Iran)

• Hành vi:

  • Deploy DaemonSet trên toàn cluster

  • Node Iran:

    • Xóa sạch (rm -rf /)

    • Force reboot

  • Node khác: Cài backdoor (systemd service)

3. Tấn công hạ tầng cloud

TeamPCP còn:

• Exploit Docker API (port 2375)

• Tấn công Redis, Ray dashboard

• Dùng SSH key bị đánh cắp

• Triển khai:

  • Cryptomining Ransomware

  • Data exfiltration

Tác nhân đe dọa: TeamPCP

TeamPCP (aka DeadCatx3, PCPcat, ShellForce) là nhóm tấn công cloud-native với khả năng ngày càng cao:

Đặc điểm nổi bật:

• Chuyên khai thác:

  • Kubernetes

  • Docker

  • CI/CD pipelines

• Tiên phong: Worm dùng ICP làm C2

• Chiến thuật:

  • Supply chain attack

  • Credential harvesting

  • Automation quy mô lớn

Phạm vi ảnh hưởng

• Không chỉ image chính thức bị ảnh hưởng

• Các image:

  • CI/CD build lại từ Trivy

  • Fork / derivative

=> Có thể đã gián tiếp nhiễm mã độc

Khuyến nghị bảo mật

Phía FPT Threat Intelligence đưa ra các khuyến nghị sau cần phải thực hiện ngay lập tức:

• Không sử dụng Trivy > 0.69.3

• Rotate toàn bộ:

  • GitHub tokens

  • SSH keys

  • Cloud credentials

• Kiểm tra CI/CD runners:

  • /tmp/pglog

  • Kết nối đến ICP domain

• Cấu hình an toàn hơn

  • Pin GitHub Actions bằng commit SHA (không dùng tag)

  • Dùng short-lived tokens

  • Áp dụng least privilege

  • Giám sát pipeline như production

• Kiểm tra hệ thống

  • Audit toàn bộ:

    • CI/CD pipelines

    • Docker images đã pull gần đây

  • Kiểm tra:

    • Kubernetes clusters

    • Docker API public (port 2375)

Kết luận

Đây là ví dụ điển hình cho “long-tail supply chain attack”:

• Một credential bị đánh cắp từ trước

• Được sử dụng lại để:

  • Chiếm GitHub org

  • Phát tán malware

  • Tấn công hạ tầng cloud

Qua đó cho thấy điểm yếu lớn nhất không phải lỗ hổng kỹ thuật, mà là:

Service account với quyền quá rộng + token tồn tại lâu

Tham khảo

• https://opensourcemalware.com/blog/teampcp-aquasec-com-github-org-compromise

• https://socket.dev/blog/trivy-docker-images-compromised

• https://thehackernews.com/2026/03/trivy-hack-spreads-infostealer-via.html