Das Ausmaß des Angriffs reicht inzwischen tief in die internen Strukturen von Aqua Security hinein. Nach Angaben des Teams von OpenSourceMalware verunstalteten die Angreifer sämtliche 44 internen Repositorys der GitHub-Organisation „aquasec-com": Jedes Repository erhielt das Präfix „tpcp-docs-", alle Beschreibungen wurden auf „TeamPCP Owns Aqua Security" („TeamPCP besitzt Aqua Security") gesetzt, und sämtliche Projekte wurden öffentlich zugänglich gemacht. Die betroffene Organisation „aquasec-com" ist nicht identisch mit dem bekannteren GitHub-Konto „aquasecurity", über das der manipulierte Trivy-Scanner, die GitHub Actions und weitere Open-Source-Projekte des Anbieters laufen. In „aquasec-com" liegt dagegen proprietärer Quellcode — darunter der Quellcode von Tracee, interne Trivy-Forks, CI/CD-Pipelines, Kubernetes-Operatoren und interne Wissensdatenbanken des Teams. Sämtliche Repositorys wurden in einem skriptgesteuerten Schub von rund zwei Minuten verändert, zwischen 20:31:07 und 20:32:26 UTC am 22. März 2026. Mit hoher Sicherheit gehen die Forscher davon aus, dass die Täter dafür ein kompromittiertes Dienstkonto namens „Argon-DevOps-Mgt" missbrauchten. „Unsere forensische Analyse der GitHub-Events-API deutet auf ein kompromittiertes Service-Account-Token als Angriffsvektor hin — wahrscheinlich gestohlen während der früheren Kompromittierung der Trivy-GitHub-Actions durch TeamPCP", erklärt der Sicherheitsforscher Paul McCarty. „Es handelt sich um ein Service- bzw. Bot-Konto (GitHub-ID 139343333, erstellt am 12.07.2023) mit einer entscheidenden Eigenschaft: Es verbindet beide GitHub-Organisationen." Ein einziges kompromittiertes Token verschaffe dem Angreifer damit Schreib- und Administratorrechte in beiden Organisationen. TeamPCP hat sich einen Namen damit gemacht, Cloud-Infrastrukturen anzugreifen, und baut sein Arsenal kontinuierlich aus. Der Akteur nimmt systematisch exponierte Docker-APIs, Kubernetes-Cluster, Ray-Dashboards und Redis-Server ins Visier, um Daten zu stehlen, Ransomware auszurollen, Opfer zu erpressen und Kryptowährung zu schürfen. Zu welcher Eskalationsstufe der Akteur inzwischen fähig ist, zeigt eine neue Wiper-Malware. Sie verbreitet sich über SSH mithilfe gestohlener Schlüssel und nutzt im lokalen Subnetz exponierte Docker-APIs auf Port 2375 aus. Eine weitere, TeamPCP zugeschriebene Schadkomponente geht über den reinen Diebstahl von Zugangsdaten hinaus und löscht ganze Kubernetes-Cluster in Iran. Das Shell-Skript verwendet denselben ICP-Canister, der mit CanisterWorm in Verbindung steht, und prüft anschließend, ob es sich um iranische Systeme handelt. „Unter Kubernetes werden privilegierte DaemonSets auf jedem Knoten ausgerollt, einschließlich der Control Plane", sagt Charlie Eriksen, Sicherheitsforscher bei Aikido. „Iranische Knoten werden über einen Container namens ‚kamikaze’ gelöscht und zwangsweise neu gestartet. Auf nicht-iranischen Knoten wird die CanisterWorm-Hintertür als systemd-Dienst installiert. Iranische Rechner ohne Kubernetes erhalten den Befehl ‚rm -rf / –no-preserve-root’." Da der Angriff andauert, sollten Organisationen ihren Einsatz von Trivy in CI/CD-Pipelines überprüfen, die betroffenen Versionen meiden und jede kürzliche Ausführung als potenziell kompromittiert behandeln. OpenSourceMalware verweist auf den langen Nachlauf solcher Lieferkettenangriffe: Eine Zugangsberechtigung, die vor Monaten bei der Kompromittierung der Trivy-GitHub-Actions erbeutet wurde, sei nun genutzt worden, um eine komplette interne GitHub-Organisation zu verunstalten. Das schwache Glied sei das Dienstkonto Argon-DevOps-Mgt gewesen — ein einzelnes Bot-Konto, das über ein langlebiges PAT zwei Organisationen miteinander verband. Der Akteur entwickle seine Fähigkeiten von der Cloud-Ausnutzung über Lieferketten-Würmer bis hin zu Kubernetes-Wipern stetig weiter und nehme dabei gezielt das Ökosystem der Sicherheitsanbieter selbst ins Visier.