La violación del código fuente de Trellix destaca las amenazas a la cadena de suministro

Proveedor de ciberseguridad enrejado publicó una concisa declaración el viernes pasado diciendo que un actor de amenazas había obtenido recientemente acceso no autorizado a «una parte de nuestro repositorio de código fuente». Trellix no reveló qué parte estaba comprometida y proporcionó pocos detalles sobre la infracción.

«Según nuestra investigación hasta la fecha, no hemos encontrado evidencia de que nuestro proceso de liberación o distribución de nuestro código fuente haya sido comprometido o de que nuestro código fuente haya sido explotado», dijo la compañía. su declaración. «Como parte de nuestro compromiso con nuestra comunidad de seguridad más amplia, tenemos la intención de compartir más detalles según corresponda una vez finalizada nuestra investigación».

Trellix dijo que inmediatamente comenzó a trabajar con “líderes expertos forenses” para investigar la infracción y también notificó a las autoridades. Sin embargo, quedan muchas preguntas, incluido dónde se encuentra el repositorio, cómo se vio comprometido y quién estuvo detrás del ataque.

Dark Reading se puso en contacto con Trellix para obtener más comentarios, pero la empresa se negó.

Relacionado:Cómo se volvió viral una historia sobre una prueba de penetración de USB

La violación de Trellix es el último ataque a la cadena de suministro que afecta a la industria de la ciberseguridad. En marzo, un grupo de amenazas llamado TeamPCP se vio comprometido triviaun escáner de código abierto administrado por Aqua Security, y KICSuna herramienta de análisis de código fuente abierta desarrollada por CheckMarx.

En ambos ataques, los actores de TeamPCP apuntaron a los flujos de trabajo de GitHub Actions para distribuir versiones envenenadas de las herramientas de código abierto. En este momento, no hay evidencia de que TeamPCP esté relacionado con la violación de Trellix y ningún actor de amenazas se ha atribuido la responsabilidad del ataque. Pero independientemente de quién sea el atacante, las violaciones del código fuente para los proveedores de seguridad pueden representar un riesgo significativo para los clientes intermedios.

Caos en la cadena de suministro de seguridad

En los recientes ataques de TeamPCP, el grupo de amenazas se aprovechó de esto CI/CD Secretos obtenidos en una violación del repositorio para obtener acceso a los repositorios de otras organizaciones, repitiendo este ciclo varias veces. la campaña en curso. Los secretos de CI/CD pueden incluir credenciales, claves SSH, claves de firma de versión y tokens de acción de GitHub.

TeamPCP no es el único grupo de amenazas que ataca el código de los proveedores de seguridad; En octubre de 2025, F5 Networks anunció que era un actor de estado-nación. violó su entorno de desarrollo de productos y obtuvo datos confidenciales para la línea de productos BIG-IP insignia de la compañía, incluido el código fuente. Y en 2022 ambos Okta Y último pase Hubo infracciones en las que los actores de amenazas obtuvieron acceso al código fuente del producto.

No está claro qué impacto podría tener la infracción de Trellix en la empresa y sus clientes.

«El riesgo depende de lo que realmente obtuvieron los atacantes y de si podrían influir en el proceso de construcción o lanzamiento», le dice a Dark Reading Raphael Silva, investigador de Aikido Security. «Si se tratara de acceso de sólo lectura a una parte de un repositorio, la principal preocupación para los clientes intermedios sería si ese mismo acceso también incluiría acceso CI/CD, claves de firma, credenciales de publicación de paquetes, etc. Básicamente, se trata de la capacidad de cambiar lo que se envía a los usuarios finales».

Relacionado:RMM Tools impulsa una campaña secreta de phishing

Afortunadamente, según lo que Trellix ha compartido hasta ahora, no hay indicios de que los atacantes hayan obtenido acceso de esta manera, dice Silva.

Aún así, una violación del código fuente puede arrojar luz sobre el diseño de un producto de seguridad, como dónde se ubican los controles y cómo se diseñan las detecciones. Esta información puede dar a los atacantes una ventaja, afirma Isaac Evans, fundador y director ejecutivo del proveedor de seguridad de aplicaciones Semgrep.

«Incluso si se detecta la infracción, eliminar el acceso de un atacante puede no ser trivial», añade Evans. “Por ejemplo, con la seguridad acuática [Trivy] En una infracción de principios de este año, la respuesta inicial de la defensa aún permitió a los atacantes modificar el código fuente después de que los defensores fueron alertados”.