圈小蛙
二月底 Trivy 的 GitHub 库遭入侵留下的祸根在 3 月爆发。黑客组织 TeamPCP 利用 Trivy 凭证轮换不彻底的漏洞，成功向欧盟委员会的自动化安全流程注入恶意代码，随后盗取 AWS API 密钥并卷走 92GB（解压后达 340GB）的敏感数据。这次攻击不仅暴露了供应链安全工具本身的脆弱性，更展示了黑客组织之间高度专业化的协作分工。
92GB 数据被“洗劫”：从一个漏洞扫描器说起
圈小蛙最近一直在关注供应链安全，但这次欧盟委员会（European Commission）翻车的方式确实让人后背发凉。就在今年 3 月，欧盟委员会确认其云端基础设施遭到入侵，罪魁祸首竟然是他们最信任的开源漏洞扫描工具——Trivy。
事情要回溯到今年 2 月底。当时，广受欢迎的开源扫描器 Trivy 的 GitHub 仓库曾遭遇过一次入侵。按理说，这类事件发生后，开发团队会进行全面的凭证轮换（Credential Rotation）。但显然，这次清理工作做得并不彻底。根据 The Next Web 的后续追踪，黑客组织 TeamPCP 敏锐地捕捉到了这些残留的凭证，并借此向 Trivy 的代码库推送了带有后门的恶意代码。
3 月 19 日：恶意代码正式“收网”
到了 3 月 19 日，欧盟委员会内部的自动化安全审计流程在例行更新时，自动下载并运行了这套含有恶意脚本的 Trivy。这本应是用来查漏补缺的“保安”，却瞬间变成了“内鬼”。
这套恶意代码的目标非常明确：通过环境变量和配置文件搜寻 AWS API 密钥。黑客得手后，利用这些高权限密钥直接绕过了欧盟委员会的外部防火墙，潜入其部署在 AWS 上的云端账号。据安全团队事后复盘，攻击者在进入环境后，使用了类似 TruffleHog 的工具进一步嗅探敏感信息，确立了持久化的访问权限。
5 天的“灯下黑”：安全响应的黄金时间已过
尽管欧盟拥有顶尖的 Cybersecurity Operations Centre，但直到 3 月 24 日，安全人员才从异常的 API 调用日志和网络流量激增中察觉到不对劲。此时，距离入侵发生已经过去了整整 5 天。
在这 5 天里，TeamPCP 疯狂打包了 91.7 GB 的压缩数据。当这些数据在 3 月 28 日出现在黑客论坛时，解压后的体积高达 340 GB。CERT-EU 随后介入调查，确认受影响的范围不仅限于欧盟委员会，还波及了至少 29 个其他的联盟实体。
职业化犯罪的新模式：TeamPCP 负责“偷”，ShinyHunters 负责“卖”
这次事件最让我觉得警惕的，是网络犯罪专业化程度的质变。这次行动并非单打独斗，而是两个臭名昭著的黑客组织深度“合盟”：
- TeamPCP：负责技术攻关。他们通过供应链渗透、凭证窃取和内网渗透，完成了从“挖洞”到“搬运”的所有脏活。
- ShinyHunters：负责流量套现和公关。这个组织在数据泄露领域极具影响力，他们接手了 TeamPCP 偷来的数据，并在暗网上公开了部分样本进行炫耀和勒索。
这种“专业外包”的模式极大地提高了攻击效率。对于我们开发者来说，这敲响了警钟：你所依赖的安全工具，如果其自身的 CI/CD 流动性存在隐患，那么它就是你防御体系中最脆弱的一环。
第一性原理思考：如何规避此类“背刺”？
从技术细节看，这次事故的核心在于凭证管理的失效。即使是知名的开源项目，在遭遇入侵后的自清理过程也可能存在盲点。对于企业和开发者而言，盲目信任自动化流程（尤其是自动更新未经校验的二进制文件或脚本）是极其危险的。
我们必须建立起一套“零信任”的工具链管理机制。例如，在拉取更新时进行严格的版本锁定（Pinning versions by hash），并在内部镜像库中进行二次扫描，而不是直接对接公共仓库。
这次欧盟委员会的教训告诉我们：在数字世界里，没有绝对安全的港湾，即使是用来扫除黑暗的灯火，也可能藏着阴影。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️