TeamPCP-Supply-Chain-Angriff: FBI-Alarm, Vect-Ransomware-Partnerschaft und vollständige Sicherheitsanleitung

Ablauf der Credential-Sammlung

• 19. März – Aqua Securitys Trivy: Der erste Einbruch. TeamPCP erlangte Zugriff auf Trivys GitHub Actions- und Docker-Hub-Signierschlüssel, überschrieb 75 von 76 trivy-action-Versionstags mit Schadcode und veröffentlichte manipulierte Binärdateien auf GitHub Releases und Docker Hub . Dieser Vorfall erhielt die CVE-Nummer CVE-2026-33634 mit einem CVSS-Score von 9,4 .

• 20. März – BerriAIs LiteLLM: Mit den aus der Trivy-Pipeline gestohlenen Zugangsdaten veröffentlichte TeamPCP schadhafte Versionen von LiteLLM, einem AI-Gateway-Tool für über 100 LLM-APIs, auf PyPI und NPM .

• 27. März – Telnyx PyPI: TeamPCP veröffentlichte schadhafte Versionen (4.87.1 und 4.87.2) des Telnyx Python SDK .

• 22. April – Checkmarx KICS und Bitwarden CLI: In einer späteren Welle wurden Checkmarx‘ KICS-Sicherheitsscanner und Bitwardens CLI innerhalb weniger Stunden kompromittiert – beide nutzten dieselbe C2-Infrastruktur . TrendMicro bestätigte die Verbindung zur TeamPCP-Kampagne .

Ökosystem-Kaskade (6 Tage)

Innerhalb von sechs Tagen breitete sich der Angriff aus über:

• GitHub Actions – manipulierte CI/CD-Workflows stahlen Tokens und Signierschlüssel
• Docker Hub – schadhafte Container-Images über kompromittierte Konten
• PyPI – schadhafte LiteLLM- und Telnyx-Pakete
• NPM – infizierte Pakete
• OpenVSX (VS-Code-Erweiterungsmarktplatz) – manipulierte Erweiterungen

Forscher bezeichneten dies als den ersten dokumentierten, sich selbst verbreitenden Supply-Chain-Wurm, der selbstständig Ökosystemgrenzen überschritt .

Ausmaß des Schadens

• Über 1.000 Unternehmens-Cloud-Umgebungen kompromittiert, laut Halcyons Bericht zur Vect-Erpressungsphase . Mandiant schätzt ein potenzielles Wachstum auf 5.000–10.000 .
• Etwa 340 GB unkomprimierte Daten allein aus der Trivy/LiteLLM-Pipeline gestohlen .
• Rund 500.000 Zugangsdaten im gesamten Kampagnenzeitraum erbeutet .

FBI FLASH-Warnung (2. Juli 2026)

Am 2. Juli 2026 veröffentlichte die Cyber-Division des FBI eine kritische Warnung (am 3. Juli in spanischen Medien berichtet), die bestätigte, dass TeamPCP in Entwicklerumgebungen eingedrungen war und Cloud-Zugangs-Tokens, SSH-Schlüssel und Kubernetes-Secrets abgegriffen hatte .

Konkrete Handlungsempfehlungen des FBI

Das FBI riet Unternehmen zu folgenden Maßnahmen :

• Build- und Deployment-Pipelines prüfen – auf kompromittierte Tool-Versionen vom 19.–24. März achten; alle in diesen Umgebungen zugänglichen Zugangsdaten als gestohlen betrachten
• Alle potenziell exponierten Zugangsdaten rotieren
• GitHub-Actions-Workflows auf vollständige Commit-SHAs (geprüfte Hashes) festlegen – nicht auf Tags oder Branches
• CI/CD-Berechtigungen nach dem Least-Privilege-Prinzip vergeben – einschränken, welche Tokens und Secrets Workflows nutzen können
• Phishing-resistente MFA einführen (z. B. FIDO2/WebAuthn)
• Alle Cloud-Tokens, SSH-Schlüssel und Kubernetes-Secrets sofort rotieren
• Nach verdächtigen Repositories mit den Namen "tpcp-docs" oder "docs-tpcp" suchen – diese nutzten die Angreifer zur Vorbereitung

Die Warnung wies zudem darauf hin, dass bereits abgeflossene Daten und Zugangsdaten als dauerhaftes Risiko zu betrachten seien .

Partnerschaft mit der Vect-Ransomware

Formelle operative Partnerschaft (Ende März 2026)

• 26.–27. März 2026 – TeamPCP schloss eine formelle Partnerschaft mit der Vect-Ransomware-as-a-Service (RaaS)-Operation, die erstmals im Dezember 2025 aufgetaucht war .
• Die Partnerschaft wurde im Dark-Web-Forum „Breached" bekannt gegeben .
• Vect begann umgehend, die von TeamPCP gestohlenen Zugangsdaten für Doppelerpressung zu nutzen – Verschlüsselung der Opfer und Veröffentlichung gestohlener Daten .
• Die ersten Opferdaten aus dem Trivy-Kompromiss wurden Mitte April 2026 von Vect veröffentlicht .

Vects zusätzliche Partnerschaft mit BreachForums (16.–18. April 2026)

• Etwa am 16.–18. April 2026 ging Vect eine weitere Partnerschaft mit dem BreachForums-Cybercrime-Marktplatz ein .
• Im Rahmen dieser Vereinbarung erhielten alle rund 300.000 registrierten BreachForums-Nutzer Zugang zu Vect-Affiliate-Keys, was die Zahl der Ransomware-Operateure massiv erhöhte .
• Der Dataminr Intel Brief bezeichnete diese Entwicklung als „beispiellose Mobilisierung von Affiliates" .

Sophos-Forschung (24. April 2026)

Sophos X-Ops veröffentlichte am 24. April 2026 eine Studie, die die Kompromittierung von Checkmarx KICS und Bitwarden CLI als Teil der TeamPCP-Kampagne dokumentiert . Wichtigste Erkenntnisse:

• Beide Tools wurden am 22. April 2026 innerhalb weniger Stunden gekapert
• Sie nutzten dieselbe C2-Domain, was auf denselben Akteur hindeutet
• Die Angriffe missbrauchten vertrauenswürdige CI/CD-Release-Workflows, um im großen Stil Zugangsdaten zu stehlen

Was Verteidiger jetzt tun müssen

Die TeamPCP-Kampagne markiert einen Wendepunkt in der Cloud-Sicherheit: Angreifer umgehen nicht länger Abwehrmaßnahmen – sie bewaffnen sie. Die wichtigsten Handlungsempfehlungen:

1. CI/CD-Pipelines als kritische Angriffsfläche behandeln – alle Workflow-Berechtigungen prüfen und Commit-SHA-Pinning einführen
2. Bei Verdacht auf Kompromittierung eines Tools alle Secrets sofort rotieren
3. In phishing-resistente MFA investieren – FIDO2/WebAuthn verhindert Folgezugriffe selbst bei gestohlenen Tokens
4. Nach Vorbereitungs-Repositories mit den Namen tpcp-docs oder docs-tpcp suchen
5. Auf das operative Partnerschaftsmodell vorbereitet sein – Erstzugangs-Broker verbünden sich formal mit Ransomware-Affiliates