TeamPCP-Supply-Chain-Angriff: FBI-Alarm, Vect-Ransomware-Partnerschaft und vollständige Sicherheitsanleitung

Die Angriffskette: Wie TeamPCP Entwickler-Tools kompromittierte

TeamPCP (von Google als UNC6780 geführt, auch bekannt als DeadCatx3, PCPcat und ShellForce) begann mit einem einzigen unvollständig rotierten GitHub-Zugangstoken ^JG.

Ablauf der Credential-Sammlung

• 19. März – Aqua Securitys Trivy: Der erste Einbruch. TeamPCP erlangte Zugriff auf Trivys GitHub Actions- und Docker-Hub-Signierschlüssel, überschrieb 75 von 76 trivy-action-Versionstags mit Schadcode und veröffentlichte manipulierte Binärdateien auf GitHub Releases und Docker Hub ^ISG. Dieser Vorfall erhielt die CVE-Nummer CVE-2026-33634 mit einem CVSS-Score von 9,4 ^G.

• 20. März – BerriAIs LiteLLM: Mit den aus der Trivy-Pipeline gestohlenen Zugangsdaten veröffentlichte TeamPCP schadhafte Versionen von LiteLLM, einem AI-Gateway-Tool für über 100 LLM-APIs, auf PyPI und NPM ^ISD.

• 27. März – Telnyx PyPI: TeamPCP veröffentlichte schadhafte Versionen (4.87.1 und 4.87.2) des Telnyx Python SDK ^IL.

• 22. April – Checkmarx KICS und Bitwarden CLI: In einer späteren Welle wurden Checkmarx‘ KICS-Sicherheitsscanner und Bitwardens CLI innerhalb weniger Stunden kompromittiert – beide nutzten dieselbe C2-Infrastruktur ^AS. TrendMicro bestätigte die Verbindung zur TeamPCP-Kampagne ^T.

Ökosystem-Kaskade (6 Tage)

Innerhalb von sechs Tagen breitete sich der Angriff aus über:

• GitHub Actions – manipulierte CI/CD-Workflows stahlen Tokens und Signierschlüssel
• Docker Hub – schadhafte Container-Images über kompromittierte Konten
• PyPI – schadhafte LiteLLM- und Telnyx-Pakete
• NPM – infizierte Pakete
• OpenVSX (VS-Code-Erweiterungsmarktplatz) – manipulierte Erweiterungen

Forscher bezeichneten dies als den ersten dokumentierten, sich selbst verbreitenden Supply-Chain-Wurm, der selbstständig Ökosystemgrenzen überschritt ^L.

Ausmaß des Schadens

• Über 1.000 Unternehmens-Cloud-Umgebungen kompromittiert, laut Halcyons Bericht zur Vect-Erpressungsphase ^H. Mandiant schätzt ein potenzielles Wachstum auf 5.000–10.000 ^M.
• Etwa 340 GB unkomprimierte Daten allein aus der Trivy/LiteLLM-Pipeline gestohlen ^S.
• Rund 500.000 Zugangsdaten im gesamten Kampagnenzeitraum erbeutet ^T.

FBI FLASH-Warnung (2. Juli 2026)

Am 2. Juli 2026 veröffentlichte die Cyber-Division des FBI eine kritische Warnung (am 3. Juli in spanischen Medien berichtet), die bestätigte, dass TeamPCP in Entwicklerumgebungen eingedrungen war und Cloud-Zugangs-Tokens, SSH-Schlüssel und Kubernetes-Secrets abgegriffen hatte ^ISL.

Konkrete Handlungsempfehlungen des FBI

Das FBI riet Unternehmen zu folgenden Maßnahmen ^S:

• Build- und Deployment-Pipelines prüfen – auf kompromittierte Tool-Versionen vom 19.–24. März achten; alle in diesen Umgebungen zugänglichen Zugangsdaten als gestohlen betrachten
• Alle potenziell exponierten Zugangsdaten rotieren
• GitHub-Actions-Workflows auf vollständige Commit-SHAs (geprüfte Hashes) festlegen – nicht auf Tags oder Branches
• CI/CD-Berechtigungen nach dem Least-Privilege-Prinzip vergeben – einschränken, welche Tokens und Secrets Workflows nutzen können
• Phishing-resistente MFA einführen (z. B. FIDO2/WebAuthn)
• Alle Cloud-Tokens, SSH-Schlüssel und Kubernetes-Secrets sofort rotieren
• Nach verdächtigen Repositories mit den Namen "tpcp-docs" oder "docs-tpcp" suchen – diese nutzten die Angreifer zur Vorbereitung ^S

Die Warnung wies zudem darauf hin, dass bereits abgeflossene Daten und Zugangsdaten als dauerhaftes Risiko zu betrachten seien ^S.

Partnerschaft mit der Vect-Ransomware

Formelle operative Partnerschaft (Ende März 2026)

• 26.–27. März 2026 – TeamPCP schloss eine formelle Partnerschaft mit der Vect-Ransomware-as-a-Service (RaaS)-Operation, die erstmals im Dezember 2025 aufgetaucht war ^III.
• Die Partnerschaft wurde im Dark-Web-Forum „Breached" bekannt gegeben ^S.
• Vect begann umgehend, die von TeamPCP gestohlenen Zugangsdaten für Doppelerpressung zu nutzen – Verschlüsselung der Opfer und Veröffentlichung gestohlener Daten ^FH.
• Die ersten Opferdaten aus dem Trivy-Kompromiss wurden Mitte April 2026 von Vect veröffentlicht ^H.

Vects zusätzliche Partnerschaft mit BreachForums (16.–18. April 2026)

• Etwa am 16.–18. April 2026 ging Vect eine weitere Partnerschaft mit dem BreachForums-Cybercrime-Marktplatz ein ^DH.
• Im Rahmen dieser Vereinbarung erhielten alle rund 300.000 registrierten BreachForums-Nutzer Zugang zu Vect-Affiliate-Keys, was die Zahl der Ransomware-Operateure massiv erhöhte ^FD.
• Der Dataminr Intel Brief bezeichnete diese Entwicklung als „beispiellose Mobilisierung von Affiliates" ^D.

Sophos-Forschung (24. April 2026)

Sophos X-Ops veröffentlichte am 24. April 2026 eine Studie, die die Kompromittierung von Checkmarx KICS und Bitwarden CLI als Teil der TeamPCP-Kampagne dokumentiert ^S. Wichtigste Erkenntnisse:

• Beide Tools wurden am 22. April 2026 innerhalb weniger Stunden gekapert
• Sie nutzten dieselbe C2-Domain, was auf denselben Akteur hindeutet
• Die Angriffe missbrauchten vertrauenswürdige CI/CD-Release-Workflows, um im großen Stil Zugangsdaten zu stehlen ^S

Was Verteidiger jetzt tun müssen

Die TeamPCP-Kampagne markiert einen Wendepunkt in der Cloud-Sicherheit: Angreifer umgehen nicht länger Abwehrmaßnahmen – sie bewaffnen sie. Die wichtigsten Handlungsempfehlungen:

1. CI/CD-Pipelines als kritische Angriffsfläche behandeln – alle Workflow-Berechtigungen prüfen und Commit-SHA-Pinning einführen
2. Bei Verdacht auf Kompromittierung eines Tools alle Secrets sofort rotieren
3. In phishing-resistente MFA investieren – FIDO2/WebAuthn verhindert Folgezugriffe selbst bei gestohlenen Tokens
4. Nach Vorbereitungs-Repositories mit den Namen tpcp-docs oder docs-tpcp suchen
5. Auf das operative Partnerschaftsmodell vorbereitet sein – Erstzugangs-Broker verbünden sich formal mit Ransomware-Affiliates