AnswersPublished31 sources
בתוך מתקפת שרשרת האספקה של TeamPCP: התראת ה-FBI, כופרת Vect ומה על מגיני סייבר לעשות עכשיו
TeamPCP ביצעה מתקפת שרשרת אספקה רחבת היקף בין 19 27 במרץ 2026, תוך שהיא חוצה חמש מערכות אקולוגיות ושותלת קוד זדוני בכלים פופולריים כמו Trivy, LiteLLM ו Checkmarx הקבוצה גנבה כ 500,000 פרטי גישה ולמעלה מ 340GB נתונים מלמעלה מ 1,000 סביבות ענן ארגוניות, תוך שיתוף פעולה רשמי עם כופרת Vect להרחבת סחיטה ביולי 2026 פרסם ה...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
בין 19 ל-27 במרץ 2026 ביצעה קבוצת התקיפה TeamPCP את שתואר על ידי חוקרי אבטחה כ"אחת מתקיפות שרשרת האספקה הגדולות ביותר שתועדו אי פעם" . תוך שישה ימים חצתה הקבוצה חמש מערכות אקולוגיות של חבילות תוכנה תוך שימוש בפרטי גישה גנובים מכלים שנפרצו בעצמם. TeamPCP גנבה נתונים מלמעלה מ-1,000 סביבות ענן ארגוניות וחברה רשמית לכופרת Vect כדי להפוך גניבות אלו לסחיטה
. ב-2 ביולי 2026 פרסמה חטיבת הסייבר של ה-FBI התראת FLASH קריטית המפרטת את המתקפה ומספקת המלצות הגנה ספציפיות
. מאמר זה מסכם את כל הממצאים המרכזיים ממקורות המודיעין הזמינים, כולל התראת ה-FBI, מחקרי Sophos ושרשרת התקיפה המלאה.
שרשרת התקיפה: איך TeamPCP פרצה לכלי מפתח
TeamPCP (המנוטרת גם כ-UNC6780 על ידי קבוצת מודיעין האיומים של גוגל, תחת השמות DeadCatx3, PCPcat ו-ShellForce) החלה בתקיפה בעקבות טוקן גישה (PAT) של GitHub שלא הוחלף כראוי .
רצף גניבת הפרטים
-
19 במרץ — Trivy של Aqua Security: הפריצה הראשונית. TeamPCP השיגה גישה למפתחות החתימה של GitHub Actions ו-Docker Hub של Trivy, דחפה קוד זדוני ל-75 מתוך 76 תגי גרסה של trivy-action ופרסמה בינאריים מורעלים ב-GitHub Releases וב-Docker Hub
. הדבר קיבל את המספר CVE-2026-33634 עם ציון CVSS 9.4
.
-
20 במרץ — LiteLLM של BerriAI: תוך שימוש בפרטי גישה שנגנבו מ-Trivy, TeamPCP דחפה גרסאות זדוניות של LiteLLM (כלי שער AI המשמש לגישה ליותר מ-100 ממשקי LLM) ל-PyPI ו-NPM
.
-
27 במרץ — Telnyx PyPI: TeamPCP פרסמה גרסאות זדוניות (4.87.1 ו-4.87.2) של Telnyx Python SDK
.
-
22 באפריל — Checkmarx KICS ו-Bitwarden CLI: גלים מאוחרים יותר פגעו בסורק האבטחה KICS של Checkmarx וב-CLI של Bitwarden תוך שעות אחד מהשני, תוך שיתוף אותה תשתית שליטה ובקרה (C2)
. TrendMicro אישרה כי אלו חלק ממסע התקיפה הרחב של TeamPCP
.
המפל בין המערכות האקולוגיות (6 ימים)
תוך שישה ימים התפשטה המתקפה על פני:
- GitHub Actions — workflows CI/CD מורעלים שגנבו טוקנים ומפתחות חתימה
- Docker Hub — תמונות מכולות זדוניות שנדחפו דרך חשבונות שנפרצו
- PyPI — חבילות LiteLLM ו-Telnyx זדוניות
- NPM — חבילות נגועות
- OpenVSX (שוק הרחבות VS Code) — הרחבות מורעלות
הדבר תואר מאוחר יותר כ"תולעת שרשרת אספקה מתפשטת ראשונה מתועדת" אשר חצתה באופן אוטונומי גבולות בין מערכות אקולוגיות .
היקף הפגיעה
- למעלה מ-1,000 סביבות ענן ארגוניות נפגעו, לפי דיווחי Halcyon על שלב הסחיטה של Vect
. Mandiant העריכה צמיחה ל-5,000–10,000
.
- כ-340 GB נתונים לא דחוסים נגנבו מצינור Trivy/LiteLLM בלבד
.
- כ-500,000 פרטי גישה נאספו לאורך מסע התקיפה
.
התראת חירום של ה-FBI (2 ביולי 2026)
ב-2 ביולי 2026 פרסמה חטיבת הסייבר של ה-FBI התראת חירום (שדווחה בתקשורת הספרדית ב-3 ביולי) המאשרת כי TeamPCP חדרה לסביבות פיתוח וחילצה טוקנים לענן, מפתחות SSH וסודות Kubernetes .
המלצות ההגנה הספציפיות של ה-FBI
בהתבסס על סיקור ההתראה, ה-FBI המליץ לארגונים:
- לבקר צנרת build/deployment לאיתור גרסאות כלים שנפגעו בין 19-24 במרץ. יש להניח שכל פרטי גישה שהיו נגישים בסביבות אלו נגנבו
- להחליף את כל פרטי הגישה שעלולים להיחשף
- לנעול workflows של GitHub Actions ל-commit SHAs מלאים (hashes מאומתים) במקום תגים (tags) או ענפים
- לאכוף הרשאות CI/CD מינימליות — להגביל אילו טוקנים וסודות יכולים workflows לגשת אליהם
- ליישם אימות רב-שלבי חסין פישינג (למשל FIDO2/WebAuthn)
- להחליף לאלתר את כל טוקני הענן, מפתחות ה-SSH וסודות Kubernetes
- לחפש מאגרים חשודים בשם
"tpcp-docs"או"docs-tpcp"בהם השתמשו התוקפים לארגון
ההתראה ציינה גם כי נתונים ופרטי גישה שכבר חולצו מהווים סיכון מתמשך .
שותפות עם כופרת Vect
שותפות מבצעית רשמית (סוף מרץ 2026)
- 26-27 במרץ 2026 — TeamPCP חברה רשמית לארגון הכופרה Vect (RaaS) שהופיע לראשונה בדצמבר 2025
.
- השותפות הוכרזה בפורום הדארק-ווב "Breached"
.
- Vect החלה מיד להשתמש בפרטי הגישה הגנובים של TeamPCP לסחיטה כפולה — הצפנת קורבנות ופרסום נתונים גנובים
.
- הקורבן המתועד הראשון מהפריצה ל-Trivy פורסם על ידי Vect באמצע אפריל 2026
.
השותפות הנוספת של Vect עם BreachForums (16-18 באפריל 2026)
- בסביבות 16-18 באפריל 2026 חברה Vect גם לשוק הפשע המקוון BreachForums
.
- במסגרת ההסכם, כ-300,000 המשתמשים הרשומים של BreachForums קיבלו מפתחות סוכן של Vect, מה שהרחיב באופן מאסיבי את מאגר מפעילי הכופרה
.
- Dataminr Intel Brief תיאר התכנסות זו כ"גיוס סוכנים חסר תקדים"
.
מחקר Sophos (24 באפריל 2026)
Sophos X-Ops פרסמה מחקר ב-24 באפריל 2026 המתעד את ההשתלטות על Checkmarx KICS ו-Bitwarden CLI כחלק ממסע TeamPCP . ממצאים מרכזיים:
- שני הכלים נחטפו ב-22 באפריל 2026 תוך שעות אחד מהשני
- הם שיתפו את אותו תחום C2, מה שקישר אותם לאותו גורם איום
- ההתקפות ניצלו workflows CI/CD מהימנים כדי לגנוב פרטי גישה בהיקף נרחב
קשרי TeamPCP לקולקטיב The Com
תוצאות החיפוש לא העלו ראיות ישירות המקשרות את TeamPCP לקולקטיב The Com. TeamPCP מזוהה עם צינור מכירת הנתונים של LAPSUS$ ומפעילה רצועת כופרה משלה בשם CipherForce, אך לא נמצאו קישורים ספציפיים ל-The Com במקורות הזמינים .
לקחים למגינים
קמפיין TeamPCP מהווה נקודת מפנה באבטחת ענן: תוקפים כבר לא עוקפים הגנות - הם מנשקים אותן. הלקחים העיקריים למגינים:
- התייחסו לצנרת CI/CD כשטח תקיפה קריטי — בקרו את הרשאות ה-workflow ואמצו הצמדה ל-commit SHA
- הניחו שפרטי גישה נחשפו אם כלי נפגע רץ — החליפו לאלתר את כל הסודות
- השקיעו באימות רב-שלבי חסין פישינג — FIDO2/WebAuthn יכול למנוע גישה המשך גם אם טוקנים נגנבו
- עקבו אחר מאגרי ביניים בשם
tpcp-docsאוdocs-tpcp - התכוננו למודל השותפות המבצעית — חברות המספקות גישה ראשונית משתפות כעת פעולה רשמית עם סוכני כופרה
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
People also ask
What is the short answer to "בתוך מתקפת שרשרת האספקה של TeamPCP: התראת ה-FBI, כופרת Vect ומה על מגיני סייבר לעשות עכשיו"?
TeamPCP ביצעה מתקפת שרשרת אספקה רחבת היקף בין 19 27 במרץ 2026, תוך שהיא חוצה חמש מערכות אקולוגיות ושותלת קוד זדוני בכלים פופולריים כמו Trivy, LiteLLM ו Checkmarx
What are the key points to validate first?
TeamPCP ביצעה מתקפת שרשרת אספקה רחבת היקף בין 19 27 במרץ 2026, תוך שהיא חוצה חמש מערכות אקולוגיות ושותלת קוד זדוני בכלים פופולריים כמו Trivy, LiteLLM ו Checkmarx הקבוצה גנבה כ 500,000 פרטי גישה ולמעלה מ 340GB נתונים מלמעלה מ 1,000 סביבות ענן ארגוניות, תוך שיתוף פעולה רשמי עם כופרת Vect להרחבת סחיטה
What should I do next in practice?
ביולי 2026 פרסם ה FBI התראת חירום (FLASH Alert) המזהירה מפני גניבת מפתחות SSH, טוקנים לענן וסודות Kubernetes, והמליץ על פעולות נמרצות כולל נעילת workflows ל commit SHAs, הגבלת הרשאות CI/CD ואימות רב שלבי חסין פישינג
Sources
- isc.sans.eduTeamPCP Supply Chain Campaign: Update 002 - Telnyx PyPI ...
- scworld.comTeamPCP-linked VECT 2.0 ransomware unintentionally destroys files larger than 128 KB
- halcyon.aiTrivy Supply Chain Compromise Enters Extortion Phase as Vect Ransomware Publishes First Victim
- isc.sans.eduTeamPCP Supply Chain Campaign: Update 003
- jumpsec.comBugs & Betrayal - Vect Analysis
- github.comugurrates/teampcp-supply-chain-attack: CVE-2026-33634 (CVSS 9.4)
- dataminr.comCyber Intel Brief: Vect, BreachForums, and TeamPCP Converge
- linkedin.comCyber Briefing: 2026.03.31 - LinkedIn
- app.daily.devTeamPCP Partners With Ransomware Group Vect to Target...
- sophos.comSupply chain attacks hit Checkmarx and Bitwarden developer tools
- trendmicro.comCheckmarx KICS and elementary-data in CI/CD Credential Theft
- labs.cloudsecurityalliance.org[PDF] TeamPCP: Multi-Ecosystem Supply Chain Worm - Lab Space
- mrcloudbook.comTeamPCP Supply Chain Attack - Telnyx, CanisterWorm Full Analysis ...
- socket.devTeamPCP Partners With Ransomware Group Vect to Target Open S...
- teampcp.pluto.securitythe supply chain attack story so far - TeamPCP - Pluto Security
- larazon.esEl FBI lanza una alerta contra el grupo de ciberdelincuentes TeamPCP
- isc.sans.eduTeamPCP Supply Chain Campaign: Update 004 - SANS ISC
- infosecurity-magazine.comTeamPCP Explores Ways to Exploit Stolen Supply Chain Secrets
- flare.ioSupply Chain Ransomware: TeamPCP Weaponizes Worms to Fuel ...
- helpnetsecurity.comTeamPCP’s attack spree slows, but threat escalates with ransomware pivot - Help Net Security
- research.checkpoint.comVECT: Ransomware by design, Wiper by accident
- iplogger.orgTeamPCP Supply Chain Campaign: Update 003 - IP Logger
- unit42.paloaltonetworks.comTeamPCP's Multi-Stage Supply Chain Attack on Security Infrastructure
- reddit.comTeamPCP Partners With Ransomware Group Vect to Target Open Source Supply Chains
- isc.sans.eduTeamPCP Supply Chain Campaign: Activity Through 2026-06-07
- anonymousmedia.orgTeamPCP Supply Chain Campaign: Update 007
- technijian.comTeamPCP Hackers Target AI Developers | Supply Chain Attack
- exposuresecurity.comTeamPCP Supply Chain Attack — Executive Briefing
- arcticwolf.comTeamPCP Supply Chain Attack Campaign Targets Trivy, Checkmarx ...
- cybersecuritypulse.netThe Biggest Supply Chain Attack of 2026 Was Unfolding ...
- csa.gov.sgOngoing 'TeamPCP' Supply-Chain Campaign