Ausgangspunkt des Vorfalls war nach Angaben von BleepingComputer der Lieferkettenangriff auf den Schwachstellen-Scanner Trivy in diesem Monat. Dabei kompromittierten Angreifer die GitHub-Pipeline des Projekts und verteilten über offizielle Releases und GitHub Actions eine Malware, die Zugangsdaten abgreift. Auf diesem Weg ließen sich CI/CD-Anmeldedaten von Organisationen stehlen, die das Werkzeug einsetzen – was den Angreifern Zugriff auf Tausende interner Build-Umgebungen verschaffte.
Bei Cisco nutzten die Täter die manipulierte GitHub Action, um Zugangsdaten und Daten aus der Build- und Entwicklungsumgebung zu entwenden. Betroffen waren Dutzende Geräte, darunter einige Entwickler- und Labor-Workstations. Im Zuge des Angriffs wurden laut BleepingComputer mehrere AWS-Schlüssel gestohlen und anschließend für unautorisierte Aktivitäten in einer kleinen Zahl von Cisco-AWS-Konten verwendet.
Cisco hat die betroffenen Systeme nach diesen Angaben isoliert, mit deren Neuaufsetzung begonnen und tauscht in großem Umfang Zugangsdaten aus. Während des Vorfalls wurden mehr als 300 GitHub-Repositories geklont, einschließlich des Quellcodes für KI-gestützte Produkte wie AI Assistants und AI Defense sowie für noch unveröffentlichte Produkte. Ein Teil der entwendeten Repositories soll Unternehmenskunden gehören – darunter Banken, BPO-Dienstleister und US-Behörden.
Mehrere Quellen berichteten BleepingComputer, dass an den Angriffen auf Ciscos CI/CD- und AWS-Konten mehr als ein Bedrohungsakteur beteiligt war, mit unterschiedlich starker Aktivität. Auf Anfragen von BleepingComputer zu dem Vorfall reagierte Cisco nicht.
Sicherheitsforscher bringen die Reihe der Lieferkettenangriffe mit der Gruppe TeamPCP in Verbindung – aufgrund der Verwendung des nach ihr benannten Infostealers “TeamPCP Cloud Stealer”. Die Gruppe führt nach diesen Angaben eine Serie von Lieferkettenangriffen gegen Entwicklerplattformen wie GitHub, PyPi, NPM und Docker durch. Sie kompromittierte zudem das LiteLLM-PyPI-Paket, was Zehntausende Geräte betraf, sowie das Checkmarx-KICS-Projekt, um dieselbe Schadsoftware auszuliefern. Cisco rechnet mit weiteren Folgen aus diesen nachgelagerten Angriffen auf LiteLLM und Checkmarx.