Sådan udførte TeamPCP femdages-kaskaden

TeamPCP (også kendt som PCPcat, ShellForce og DeadCatx3) er en økonomisk motiveret cyberkriminel gruppe, der har været aktiv siden midten af 2025 . Deres kampagne i marts 2026 var bemærkelsesværdig for sin kaskadearkitektur: legitimationsoplysninger stjålet fra ét offers CI/CD-pipeline blev adgangsvektoren til det næste mål . Kaskaden udfoldede sig over fem dage:

Dag 1: Trivy (19. marts)

TeamPCP fik først adgang til Aqua Securitys infrastruktur ved at udnytte en pull_request_target workflow-fejlkonfiguration – en "PwnRequest"-sårbarhed . De opsnappede et nyligt roteret personligt adgangstoken til aqua-bot-tjenestekontoen og tvang-pushede versionstags til at pege på ondsindede commits. Seksoghalvfjerds af 77 trivy-action-tags og alle 7 setup-trivy-tags blev kapret . Dette første kompromis spores som CVE-2026-33634 (CVSS 9.8 Kritisk) .

Dag 2: KICS (23. marts)

Ved hjælp af tokens stjålet fra Trivy-ofre autentificerede TeamPCP sig som Checkmarx' cx-plugins-releases-tjenestekonto og pushede ondsindede KICS-udgivelser .

Dag 3: LiteLLM (24. marts)

LiteLLMs byggepipeline installerede automatisk den kompromitterede Trivy-scanner, hvilket gav malwaren læseadgang til runner-miljøet. TeamPCP stjal LiteLLMs PyPI-publiceringstokens og udgav to ondsindede udgivelser – version 1.82.7 og 1.82.8 – på PyPI . De ondsindede pakker var tilgængelige i kun cirka 40 minutter, før de blev opdaget .

Malwaren

LiteLLM-malwaren deployerede en tretrins nyttelast :

• En legitimationshøster, der målrettede over 50 kategorier af hemmeligheder
• Et Kubernetes lateralt bevægelsesværktøj, der eskalerede til root og deployerede privilegerede pods
• En vedvarende bagdør til fjernudførelse af kode

Malwaren brugte .pth-filinjektion til automatisk at udføre ved hver Python-fortolker-start, hvilket krævede ingen eksplicit import – hvilket gjorde den særligt vanskelig at opdage . På kompromitterede runners – sporet af Google som SANDCLOCK – fejede nyttelasten SSH-nøgler, AWS/GCP/Azure-legitimationsoplysninger, Kubernetes-tjenestekontotokens og databaseadgangskoder .

Berørte organisationer

Navngivne ofre identificeret af flere trusselsanalysefirmaer inkluderer :

Teknologi: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Virksomheder: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Medier: Orange, BT Group, SiriusXM/AdsWizz
Andre: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europa-Kommissionen blev også brudt via det indledende Trivy-kompromis, hvilket resulterede i eksfiltrering af AWS-administrationslegitimationsoplysninger og ~340 GB ukomprimerede data stjålet, hvilket påvirkede 42 interne kunder og 29 yderligere EU-enheder .

Omfanget af eksponering af legitimationsoplysninger

De stjålne datatyper inkluderer :

• Cloud IAM-nøgler (AWS, GCP, Azure)
• SSH-nøgler og Kubernetes-hemmeligheder
• Databaseadgangskoder og Salesforce-klienthemmeligheder
• Slack-signeringshemmeligheder og miljøvariabler
• AI-udbyder API-nøgler (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI udsendte en FLASH-advisering den 2. juli 2026, der advarede om, at organisationer ramt af kampagnen bør behandle eksfiltrerede data og legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

Den igangværende risiko fra uudskiftede hemmeligheder

På trods af bruddets alvor er risikoen langt fra inddæmmet af flere grunde:

Arkivet er endnu ikke lækket

Hudson Rock, som har fået og analyseret arkivet, rapporterer, at 153 GB-datasættet ikke cirkulerer bredt endnu – og kalder det "et kritisk vindue af mulighed" for organisationer til at rotere nøgler, før det til sidst lækker .

Mange organisationer har ikke roteret

Sikkerhedsforsker Kevin Beaumont testede legitimationsoplysninger fra én organisation, der hævdede at have roteret alt. Hans fund: "Næsten hver eneste en virkede" .

Uidentificerbare legitimationsoplysninger

En stor del af de dumpede filer indeholder databaseadgangskoder, API-nøgler og cloud-legitimationsoplysninger uden nogen virksomheds-e-mail, brugerdefineret domæne eller internt servernavn til at identificere den ejende organisation. Disse organisationer kan ikke vide, at de er berørt .

Eksponering vs. bekræftet kompromis

Tallet på over 2.500 afspejler rekonstrueret eksponering, ikke bekræftet kompromis for hver organisation. CloudSEK understreger, at hver enkelt opført organisation bør verificere uafhængigt . Men datasættet er nu i hænderne på flere trusselsanalysefirmaer, og den naturlige cyklus af et brud betyder, at bredere cirkulation forventes.

Vigtige pointer for organisationer

Enhver organisation, der:

• Kørte LiteLLM version 1.82.7 eller 1.82.8
• Havde CI/CD-pipelines, der forbruger disse versioner
• Brugte den kompromitterede Trivy-scanner mellem 19.-24. marts 2026

...bør behandle alle hemmeligheder, der er tilgængelige for det pågældende miljø, som kompromitterede og rotere dem straks, selvom der ikke er opdaget noget indlysende brud . FBIs FLASH-advisering understreger dette: behandl eksfiltrerede legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

TeamPCP demonstrerede, at ét ikke-revokeret token, tre værktøjer dybt kan omdanne et enkelt læk af legitimationsoplysninger til eksponering på tværs af et helt økosystem. LiteLLM-angrebet er en skarp påmindelse om, at i moderne softwareforsyningskæder kan det værktøj, du stoler på til at finde sårbarheder, selv blive sårbarheden.

Sådan udførte TeamPCP femdages-kaskaden

TeamPCP (også kendt som PCPcat, ShellForce og DeadCatx3) er en økonomisk motiveret cyberkriminel gruppe, der har været aktiv siden midten af 2025 . Deres kampagne i marts 2026 var bemærkelsesværdig for sin kaskadearkitektur: legitimationsoplysninger stjålet fra ét offers CI/CD-pipeline blev adgangsvektoren til det næste mål . Kaskaden udfoldede sig over fem dage:

Dag 1: Trivy (19. marts)

TeamPCP fik først adgang til Aqua Securitys infrastruktur ved at udnytte en pull_request_target workflow-fejlkonfiguration – en "PwnRequest"-sårbarhed . De opsnappede et nyligt roteret personligt adgangstoken til aqua-bot-tjenestekontoen og tvang-pushede versionstags til at pege på ondsindede commits. Seksoghalvfjerds af 77 trivy-action-tags og alle 7 setup-trivy-tags blev kapret . Dette første kompromis spores som CVE-2026-33634 (CVSS 9.8 Kritisk) .

Dag 2: KICS (23. marts)

Ved hjælp af tokens stjålet fra Trivy-ofre autentificerede TeamPCP sig som Checkmarx' cx-plugins-releases-tjenestekonto og pushede ondsindede KICS-udgivelser .

Dag 3: LiteLLM (24. marts)

LiteLLMs byggepipeline installerede automatisk den kompromitterede Trivy-scanner, hvilket gav malwaren læseadgang til runner-miljøet. TeamPCP stjal LiteLLMs PyPI-publiceringstokens og udgav to ondsindede udgivelser – version 1.82.7 og 1.82.8 – på PyPI . De ondsindede pakker var tilgængelige i kun cirka 40 minutter, før de blev opdaget .

Malwaren

LiteLLM-malwaren deployerede en tretrins nyttelast :

• En legitimationshøster, der målrettede over 50 kategorier af hemmeligheder
• Et Kubernetes lateralt bevægelsesværktøj, der eskalerede til root og deployerede privilegerede pods
• En vedvarende bagdør til fjernudførelse af kode

Malwaren brugte .pth-filinjektion til automatisk at udføre ved hver Python-fortolker-start, hvilket krævede ingen eksplicit import – hvilket gjorde den særligt vanskelig at opdage . På kompromitterede runners – sporet af Google som SANDCLOCK – fejede nyttelasten SSH-nøgler, AWS/GCP/Azure-legitimationsoplysninger, Kubernetes-tjenestekontotokens og databaseadgangskoder .

Berørte organisationer

Navngivne ofre identificeret af flere trusselsanalysefirmaer inkluderer :

Teknologi: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Virksomheder: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Medier: Orange, BT Group, SiriusXM/AdsWizz
Andre: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europa-Kommissionen blev også brudt via det indledende Trivy-kompromis, hvilket resulterede i eksfiltrering af AWS-administrationslegitimationsoplysninger og ~340 GB ukomprimerede data stjålet, hvilket påvirkede 42 interne kunder og 29 yderligere EU-enheder .

Omfanget af eksponering af legitimationsoplysninger

De stjålne datatyper inkluderer :

• Cloud IAM-nøgler (AWS, GCP, Azure)
• SSH-nøgler og Kubernetes-hemmeligheder
• Databaseadgangskoder og Salesforce-klienthemmeligheder
• Slack-signeringshemmeligheder og miljøvariabler
• AI-udbyder API-nøgler (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI udsendte en FLASH-advisering den 2. juli 2026, der advarede om, at organisationer ramt af kampagnen bør behandle eksfiltrerede data og legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

Den igangværende risiko fra uudskiftede hemmeligheder

På trods af bruddets alvor er risikoen langt fra inddæmmet af flere grunde:

Arkivet er endnu ikke lækket

Hudson Rock, som har fået og analyseret arkivet, rapporterer, at 153 GB-datasættet ikke cirkulerer bredt endnu – og kalder det "et kritisk vindue af mulighed" for organisationer til at rotere nøgler, før det til sidst lækker .

Mange organisationer har ikke roteret

Sikkerhedsforsker Kevin Beaumont testede legitimationsoplysninger fra én organisation, der hævdede at have roteret alt. Hans fund: "Næsten hver eneste en virkede" .

Uidentificerbare legitimationsoplysninger

En stor del af de dumpede filer indeholder databaseadgangskoder, API-nøgler og cloud-legitimationsoplysninger uden nogen virksomheds-e-mail, brugerdefineret domæne eller internt servernavn til at identificere den ejende organisation. Disse organisationer kan ikke vide, at de er berørt .

Eksponering vs. bekræftet kompromis

Tallet på over 2.500 afspejler rekonstrueret eksponering, ikke bekræftet kompromis for hver organisation. CloudSEK understreger, at hver enkelt opført organisation bør verificere uafhængigt . Men datasættet er nu i hænderne på flere trusselsanalysefirmaer, og den naturlige cyklus af et brud betyder, at bredere cirkulation forventes.

Vigtige pointer for organisationer

Enhver organisation, der:

• Kørte LiteLLM version 1.82.7 eller 1.82.8
• Havde CI/CD-pipelines, der forbruger disse versioner
• Brugte den kompromitterede Trivy-scanner mellem 19.-24. marts 2026

...bør behandle alle hemmeligheder, der er tilgængelige for det pågældende miljø, som kompromitterede og rotere dem straks, selvom der ikke er opdaget noget indlysende brud . FBIs FLASH-advisering understreger dette: behandl eksfiltrerede legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

TeamPCP demonstrerede, at ét ikke-revokeret token, tre værktøjer dybt kan omdanne et enkelt læk af legitimationsoplysninger til eksponering på tværs af et helt økosystem. LiteLLM-angrebet er en skarp påmindelse om, at i moderne softwareforsyningskæder kan det værktøj, du stoler på til at finde sårbarheder, selv blive sårbarheden.