FBI vydala 2. července 2026 kritické varování (FLASH alert), ve kterém potvrdila, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets [2][7].
Tým se formálně spojil s ransomwarem as a service (RaaS) operací Vect, která okamžitě začala používat ukradené přístupy k dvojitému vydírání – šifrování obětí a zveřejňování ukradených dat [1][3][10].
V dále bezprecedentním kroku se Vect spojil s tržištěm BreachForums a poskytl affiliate klíče všem jeho 300 000 registrovaným uživatelům, čímž masivně rozšířil základnu operátorů ransomwaru [4][6][13].
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Mezi 19. a 27. březnem 2026 provedl hrozivý aktér známý jako TeamPCP to, co bezpečnostní výzkumníci označili za „jeden z největších útoků na CI/CD dodavatelský řetězec v historii" . Pomocí ukradených přihlašovacích údajů z kompromitovaných nástrojů se přesunul napříč pěti ekosystémy balíčků, kompromitoval přes 1 000 podnikových cloudových prostředí a formálně se spojil s ransomware operací Vect, aby proměnil ukradený přístup ve vydírání . 2. července 2026 vydala Kybernetická divize FBI kritické varování FLASH s podrobnostmi o kampani a konkrétními doporučeními pro zmírnění . Tento článek shrnuje všechna klíčová zjištění z dostupných zpravodajských zdrojů, včetně varování FBI, výzkumu společnosti Sophos a celého útočného řetězce.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Uvnitř útoku na dodavatelský řetězec TeamPCP: Varování FBI, ransomware Vect a co musí obránci udělat nyní"?
Skupina TeamPCP provedla mezi 19. a 27.
What are the key points to validate first?
Skupina TeamPCP provedla mezi 19. a 27. FBI vydala 2. července 2026 kritické varování (FLASH alert), ve kterém potvrdila, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets [2][7].
What should I do next in practice?
Tým se formálně spojil s ransomwarem as a service (RaaS) operací Vect, která okamžitě začala používat ukradené přístupy k dvojitému vydírání – šifrování obětí a zveřejňování ukradených dat [1][3][10].
FBI vydala 2. července 2026 kritické varování (FLASH alert), ve kterém potvrdila, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets [2][7].
Tým se formálně spojil s ransomwarem as a service (RaaS) operací Vect, která okamžitě začala používat ukradené přístupy k dvojitému vydírání – šifrování obětí a zveřejňování ukradených dat [1][3][10].
V dále bezprecedentním kroku se Vect spojil s tržištěm BreachForums a poskytl affiliate klíče všem jeho 300 000 registrovaným uživatelům, čímž masivně rozšířil základnu operátorů ransomwaru [4][6][13].
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Mezi 19. a 27. březnem 2026 provedl hrozivý aktér známý jako TeamPCP to, co bezpečnostní výzkumníci označili za „jeden z největších útoků na CI/CD dodavatelský řetězec v historii" . Pomocí ukradených přihlašovacích údajů z kompromitovaných nástrojů se přesunul napříč pěti ekosystémy balíčků, kompromitoval přes 1 000 podnikových cloudových prostředí a formálně se spojil s ransomware operací Vect, aby proměnil ukradený přístup ve vydírání . 2. července 2026 vydala Kybernetická divize FBI kritické varování FLASH s podrobnostmi o kampani a konkrétními doporučeními pro zmírnění . Tento článek shrnuje všechna klíčová zjištění z dostupných zpravodajských zdrojů, včetně varování FBI, výzkumu společnosti Sophos a celého útočného řetězce.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Uvnitř útoku na dodavatelský řetězec TeamPCP: Varování FBI, ransomware Vect a co musí obránci udělat nyní"?
Skupina TeamPCP provedla mezi 19. a 27.
What are the key points to validate first?
Skupina TeamPCP provedla mezi 19. a 27. FBI vydala 2. července 2026 kritické varování (FLASH alert), ve kterém potvrdila, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets [2][7].
What should I do next in practice?
Tým se formálně spojil s ransomwarem as a service (RaaS) operací Vect, která okamžitě začala používat ukradené přístupy k dvojitému vydírání – šifrování obětí a zveřejňování ukradených dat [1][3][10].
Útočný řetězec: Jak TeamPCP kompromitoval vývojářské nástroje
TeamPCP (sledovaný jako UNC6780 týmem Google Threat Intelligence Group, také používající aliasy DeadCatx3, PCPcat a ShellForce) začal s jediným neúplně otočeným osobním přístupovým tokenem GitHub .
Sekvence krádeže přihlašovacích údajů
19. března — Aqua Security's Trivy: Prvotní kompromitace. TeamPCP získal přístup k signovacím klíčům GitHub Actions a Docker Hub nástroje Trivy, poté vynuceně nahrál škodlivý kód do 75 z 76 version tagů trivy-action a zveřejnil otrávené binární soubory na GitHub Releases a Docker Hub . Toto bylo označeno jako CVE-2026-33634 s CVSS skóre 9,4 .
20. března — BerriAI's LiteLLM: S využitím přihlašovacích údajů ukradených z pipeline Trivy, TeamPCP nahrál škodlivé verze LiteLLM, nástroje AI brány používaného pro přístup k více než 100 LLM API, na PyPI a NPM .
27. března — Telnyx PyPI: TeamPCP zveřejnil škodlivé verze (4.87.1 a 4.87.2) Python SDK knihovny Telnyx .
22. dubna — Checkmarx KICS a Bitwarden CLI: Pozdější vlny zacílily na bezpečnostní skener KICS od Checkmarx a CLI nástroj Bitwarden během několika hodin od sebe, přičemž sdílely stejnou C2 infrastrukturu . TrendMicro potvrdil, že tyto incidenty jsou součástí širší kampaně TeamPCP .
Docker Hub — škodlivé kontejnerové obrazy nahrávané přes kompromitované účty
PyPI — škodlivé balíčky LiteLLM a Telnyx
NPM — infikované balíčky
OpenVSX (tržiště rozšíření pro VS Code) — otrávená rozšíření
To bylo později charakterizováno jako první zdokumentovaný samopropagující se červ dodavatelského řetězce, který autonomně překročil hranice ekosystémů .
Rozsah dopadu
Bylo kompromitováno přes 1 000 podnikových cloudových prostředí podle zprávy Halcyon o vyděračské fázi Vect . Mandiant odhadoval růst na 5 000–10 000 .
Pouze z pipeline Trivy/LiteLLM bylo ukradeno přibližně 340 GB nekomprimovaných dat.
Během kampaně bylo získáno zhruba 500 000 přihlašovacích údajů.
Varování FBI FLASH (2. července 2026)
července 2026 vydala Kybernetická divize FBI kritické varování (ve španělských médiích reportováno 3. července) potvrzující, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets.
Konkrétní doporučení FBI pro zmírnění
Na základě pokrytí varování FBI radila organizacím:
Auditujte build/deployment pipeline na kompromitované verze nástrojů používaných mezi 19.–24. březnem; předpokládejte, že všechny přihlašovací údaje přístupné v těchto prostředích byly ukradeny
Obtočte všechny přihlašovací údaje, které mohly být vystaveny
Připněte GitHub Actions workflow na plné SHA commity (ověřené hashe) místo tagů nebo větví
Zaveďte princip nejnižších oprávnění pro CI/CD — omezte, ke kterým tokenům a tajemstvím mají workflow přístup
Implementujte MFA odolné proti phishingu (např. FIDO2/WebAuthn)
Ihned obtočte všechny cloudové tokeny, SSH klíče a Kubernetes tajemství
Hledejte podezřelé repozitáře pojmenované "tpcp-docs" nebo "docs-tpcp", které útočníci používali pro staging
Varování také poznamenalo, že již exfiltrovaná data a přihlašovací údaje by měly být považovány za trvalé riziko .
Partnerství s ransomwarem Vect
Formální operační partnerství (konec března 2026)
26.–27. března 2026 — TeamPCP se formálně spojil s ransomware-as-a-service (RaaS) operací Vect, která se poprvé objevila v prosinci 2025 .
Partnerství bylo oznámeno na dark webovém fóru "Breached" .
Vect okamžitě začal používat ukradené přístupy od TeamPCP pro dvojité vydírání ransomwarem — šifrování obětí a zveřejňování ukradených dat .
První jmenovaná data oběti z kompromitace Trivy byla zveřejněna Vectem v polovině dubna 2026 .
Další partnerství Vect s BreachForums (16.–18. dubna 2026)
Přibližně 16.–18. dubna 2026 se Vect dodatečně spojil s kyberzločineckým tržištěm BreachForums.
Na základě této dohody byl všem ~300 000 registrovaným uživatelům BreachForums poskytnut přístup k affiliate klíčům Vect, čímž se masivně rozšířila základna operátorů ransomwaru .
Dataminr Intel Brief popsal tuto konvergenci jako "bezprecedentní mobilizaci affiliate partnerů" .
Výzkum Sophos (24. dubna 2026)
Sophos X-Ops zveřejnil výzkum 24. dubna 2026 dokumentující kompromitace Checkmarx KICS a Bitwarden CLI jako součást kampaně TeamPCP . Klíčová zjištění:
Oba nástroje byly uneseny 22. dubna 2026 během několika hodin od sebe
Sdílely stejnou C2 doménu, což je spojuje se stejným hrozivým aktérem
Útoky zneužily důvěryhodné CI/CD release workflow k hromadné krádeži přihlašovacích údajů
Spojení TeamPCP s The Com Collective
Výsledky vyhledávání nenalezly přímé důkazy spojující TeamPCP s kolektivem The Com. TeamPCP byl spojen s datovým prodejním kanálem LAPSUS$ a provozuje vlastní ransomware stopu CipherForce, ale specifické odkazy na Com nebyly v dostupných zdrojích nalezeny .
Ponaučení pro obránce
Kampaň TeamPCP představuje zlomový bod v cloudové bezpečnosti: útočníci již neobcházejí obranu – oni ji vyzbrojují. Klíčová ponaučení pro obránce:
Považujte CI/CD pipeline za kritická útočná místa — auditujte všechna oprávnění workflow a přijměte pinování na commit-SHA
Předpokládejte kompromitaci přihlašovacích údajů, pokud spustil kompromitovaný nástroj — okamžitě obtočte všechna tajemství
Investujte do MFA odolného proti phishingu — FIDO2/WebAuthn může zabránit následnému přístupu i v případě krádeže tokenů
Monitorujte stagingové repozitáře pojmenované tpcp-docs nebo docs-tpcp
Připravte se na model operačního partnerství — brokeři vstupního přístupu se nyní formálně spojují s ransomware affiliaty
Útočný řetězec: Jak TeamPCP kompromitoval vývojářské nástroje
TeamPCP (sledovaný jako UNC6780 týmem Google Threat Intelligence Group, také používající aliasy DeadCatx3, PCPcat a ShellForce) začal s jediným neúplně otočeným osobním přístupovým tokenem GitHub .
Sekvence krádeže přihlašovacích údajů
19. března — Aqua Security's Trivy: Prvotní kompromitace. TeamPCP získal přístup k signovacím klíčům GitHub Actions a Docker Hub nástroje Trivy, poté vynuceně nahrál škodlivý kód do 75 z 76 version tagů trivy-action a zveřejnil otrávené binární soubory na GitHub Releases a Docker Hub . Toto bylo označeno jako CVE-2026-33634 s CVSS skóre 9,4 .
20. března — BerriAI's LiteLLM: S využitím přihlašovacích údajů ukradených z pipeline Trivy, TeamPCP nahrál škodlivé verze LiteLLM, nástroje AI brány používaného pro přístup k více než 100 LLM API, na PyPI a NPM .
27. března — Telnyx PyPI: TeamPCP zveřejnil škodlivé verze (4.87.1 a 4.87.2) Python SDK knihovny Telnyx .
22. dubna — Checkmarx KICS a Bitwarden CLI: Pozdější vlny zacílily na bezpečnostní skener KICS od Checkmarx a CLI nástroj Bitwarden během několika hodin od sebe, přičemž sdílely stejnou C2 infrastrukturu . TrendMicro potvrdil, že tyto incidenty jsou součástí širší kampaně TeamPCP .
Docker Hub — škodlivé kontejnerové obrazy nahrávané přes kompromitované účty
PyPI — škodlivé balíčky LiteLLM a Telnyx
NPM — infikované balíčky
OpenVSX (tržiště rozšíření pro VS Code) — otrávená rozšíření
To bylo později charakterizováno jako první zdokumentovaný samopropagující se červ dodavatelského řetězce, který autonomně překročil hranice ekosystémů .
Rozsah dopadu
Bylo kompromitováno přes 1 000 podnikových cloudových prostředí podle zprávy Halcyon o vyděračské fázi Vect . Mandiant odhadoval růst na 5 000–10 000 .
Pouze z pipeline Trivy/LiteLLM bylo ukradeno přibližně 340 GB nekomprimovaných dat.
Během kampaně bylo získáno zhruba 500 000 přihlašovacích údajů.
Varování FBI FLASH (2. července 2026)
července 2026 vydala Kybernetická divize FBI kritické varování (ve španělských médiích reportováno 3. července) potvrzující, že TeamPCP infiltroval vývojářská prostředí a exfiltroval cloudové přístupové tokeny, SSH klíče a Kubernetes secrets.
Konkrétní doporučení FBI pro zmírnění
Na základě pokrytí varování FBI radila organizacím:
Auditujte build/deployment pipeline na kompromitované verze nástrojů používaných mezi 19.–24. březnem; předpokládejte, že všechny přihlašovací údaje přístupné v těchto prostředích byly ukradeny
Obtočte všechny přihlašovací údaje, které mohly být vystaveny
Připněte GitHub Actions workflow na plné SHA commity (ověřené hashe) místo tagů nebo větví
Zaveďte princip nejnižších oprávnění pro CI/CD — omezte, ke kterým tokenům a tajemstvím mají workflow přístup
Implementujte MFA odolné proti phishingu (např. FIDO2/WebAuthn)
Ihned obtočte všechny cloudové tokeny, SSH klíče a Kubernetes tajemství
Hledejte podezřelé repozitáře pojmenované "tpcp-docs" nebo "docs-tpcp", které útočníci používali pro staging
Varování také poznamenalo, že již exfiltrovaná data a přihlašovací údaje by měly být považovány za trvalé riziko .
Partnerství s ransomwarem Vect
Formální operační partnerství (konec března 2026)
26.–27. března 2026 — TeamPCP se formálně spojil s ransomware-as-a-service (RaaS) operací Vect, která se poprvé objevila v prosinci 2025 .
Partnerství bylo oznámeno na dark webovém fóru "Breached" .
Vect okamžitě začal používat ukradené přístupy od TeamPCP pro dvojité vydírání ransomwarem — šifrování obětí a zveřejňování ukradených dat .
První jmenovaná data oběti z kompromitace Trivy byla zveřejněna Vectem v polovině dubna 2026 .
Další partnerství Vect s BreachForums (16.–18. dubna 2026)
Přibližně 16.–18. dubna 2026 se Vect dodatečně spojil s kyberzločineckým tržištěm BreachForums.
Na základě této dohody byl všem ~300 000 registrovaným uživatelům BreachForums poskytnut přístup k affiliate klíčům Vect, čímž se masivně rozšířila základna operátorů ransomwaru .
Dataminr Intel Brief popsal tuto konvergenci jako "bezprecedentní mobilizaci affiliate partnerů" .
Výzkum Sophos (24. dubna 2026)
Sophos X-Ops zveřejnil výzkum 24. dubna 2026 dokumentující kompromitace Checkmarx KICS a Bitwarden CLI jako součást kampaně TeamPCP . Klíčová zjištění:
Oba nástroje byly uneseny 22. dubna 2026 během několika hodin od sebe
Sdílely stejnou C2 doménu, což je spojuje se stejným hrozivým aktérem
Útoky zneužily důvěryhodné CI/CD release workflow k hromadné krádeži přihlašovacích údajů
Spojení TeamPCP s The Com Collective
Výsledky vyhledávání nenalezly přímé důkazy spojující TeamPCP s kolektivem The Com. TeamPCP byl spojen s datovým prodejním kanálem LAPSUS$ a provozuje vlastní ransomware stopu CipherForce, ale specifické odkazy na Com nebyly v dostupných zdrojích nalezeny .
Ponaučení pro obránce
Kampaň TeamPCP představuje zlomový bod v cloudové bezpečnosti: útočníci již neobcházejí obranu – oni ji vyzbrojují. Klíčová ponaučení pro obránce:
Považujte CI/CD pipeline za kritická útočná místa — auditujte všechna oprávnění workflow a přijměte pinování na commit-SHA
Předpokládejte kompromitaci přihlašovacích údajů, pokud spustil kompromitovaný nástroj — okamžitě obtočte všechna tajemství
Investujte do MFA odolného proti phishingu — FIDO2/WebAuthn může zabránit následnému přístupu i v případě krádeže tokenů
Monitorujte stagingové repozitáře pojmenované tpcp-docs nebo docs-tpcp
Připravte se na model operačního partnerství — brokeři vstupního přístupu se nyní formálně spojují s ransomware affiliaty
