La catena d'attacco: come TeamPCP ha compromesso gli strumenti per sviluppatori

TeamPCP (tracciato come UNC6780 dal Google Threat Intelligence Group, con gli alias DeadCatx3, PCPcat e ShellForce) è partito da un singolo token di accesso personale GitHub non completamente ruotato .

Sequenza di furto di credenziali

• 19 marzo — Trivy di Aqua Security: la compromissione iniziale. TeamPCP ha ottenuto l'accesso alle chiavi di firma di GitHub Actions e Docker Hub di Trivy, quindi ha forzato il push di codice malevolo su 75 dei 76 tag di versione di trivy-action e ha pubblicato binari avvelenati su GitHub Releases e Docker Hub . A questo è stato assegnato CVE-2026-33634 con un punteggio CVSS di 9.4 .

• 20 marzo — LiteLLM di BerriAI: utilizzando le credenziali rubate dalla pipeline di Trivy, TeamPCP ha pubblicato versioni malevole di LiteLLM, un gateway AI utilizzato per accedere a oltre 100 API LLM, su PyPI e NPM .

• 27 marzo — Telnyx PyPI: TeamPCP ha pubblicato versioni malevole (4.87.1 e 4.87.2) dell'SDK Python di Telnyx .

• 22 aprile — Checkmarx KICS e Bitwarden CLI: ondate successive hanno preso di mira lo scanner di sicurezza KICS di Checkmarx e la CLI di Bitwarden a poche ore di distanza l'una dall'altra, condividendo la stessa infrastruttura C2 . TrendMicro ha confermato che queste facevano parte della più ampia campagna TeamPCP .

Cascata tra ecosistemi (6 giorni)

In sei giorni, l'attacco si è diffuso attraverso:

• GitHub Actions — flussi di lavoro CI/CD avvelenati hanno rubato token e chiavi di firma
• Docker Hub — immagini container malevole pubblicate tramite account compromessi
• PyPI — pacchetti LiteLLM e Telnyx malevoli
• NPM — pacchetti infetti
• OpenVSX (marketplace di estensioni VS Code) — estensioni avvelenate

Questo è stato successivamente caratterizzato come il primo worm di supply chain auto-propaganante documentato in grado di attraversare autonomamente i confini tra ecosistemi .

Scala dell'impatto

• Oltre 1.000 ambienti cloud aziendali compromessi, secondo i report di Halcyon sulla fase di estorsione di Vect . Mandiant stima una crescita prevista fino a 5.000-10.000 .
• Circa 340 GB di dati non compressi rubati dalla sola pipeline Trivy/LiteLLM .
• Approssimativamente 500.000 credenziali raccolte durante l'intera campagna .

Allerta FLASH dell'FBI (2 luglio 2026)

Il 2 luglio 2026, la divisione cyber dell'FBI ha emesso un'allerta critica (riportata dai media spagnoli il 3 luglio) confermando che TeamPCP si era infiltrato negli ambienti di sviluppo e aveva esfiltrato token di accesso al cloud, chiavi SSH e segreti Kubernetes .

Raccomandazioni specifiche dell'FBI per la mitigazione

Sulla base della copertura dell'allerta, l'FBI ha consigliato alle organizzazioni di:

• Verificare le pipeline di build/deployment per versioni di strumenti compromesse utilizzate tra il 19 e il 24 marzo; considerare rubate tutte le credenziali accessibili in quegli ambienti
• Ruotare tutte le credenziali che potrebbero essere state esposte
• Fissare i flussi di lavoro di GitHub Actions agli SHA di commit completi (hash verificati) invece che a tag o rami
• Applicare privilegi minimi per le autorizzazioni CI/CD — limitare a quali token e segreti i flussi di lavoro possono accedere
• Implementare MFA resistente al phishing (ad esempio FIDO2/WebAuthn)
• Ruotare immediatamente tutti i token cloud, le chiavi SSH e i segreti Kubernetes
• Cercare repository sospetti denominati "tpcp-docs" o "docs-tpcp" utilizzati dagli aggressori per lo staging

L'allerta ha anche notato che i dati e le credenziali già esfiltrati dovrebbero essere considerati un rischio persistente .

Partnership con il ransomware Vect

Partnership operativa formale (fine marzo 2026)

• 26-27 marzo 2026 — TeamPCP ha stretto una partnership formale con l'operazione Vect ransomware-as-a-service (RaaS), apparsa per la prima volta nel dicembre 2025 .
• La partnership è stata annunciata sul forum dark web "Breached" .
• Vect ha immediatamente iniziato a utilizzare l'accesso alle credenziali rubate da TeamPCP per estorsione a doppio riscatto — crittografando le vittime e pubblicando i dati rubati .
• I primi dati di una vittima nominata dalla compromissione di Trivy sono stati pubblicati da Vect a metà aprile 2026 .

Ulteriore partnership di Vect con BreachForums (16-18 aprile 2026)

• Intorno al 16-18 aprile 2026, Vect ha stretto un'ulteriore partnership con il marketplace cybercriminale BreachForums .
• Secondo questo accordo, a tutti i circa 300.000 utenti registrati di BreachForums è stato dato accesso alle chiavi affiliate di Vect, espandendo massicciamente la base di operatori ransomware .
• Il Dataminr Intel Brief ha descritto questa convergenza come "mobilitazione di affiliazione senza precedenti" .

Ricerca Sophos (24 aprile 2026)

Sophos X-Ops ha pubblicato una ricerca il 24 aprile 2026 documentando le compromissioni di Checkmarx KICS e Bitwarden CLI come parte della campagna TeamPCP . Risultati chiave:

• Entrambi gli strumenti sono stati dirottati il 22 aprile 2026 a poche ore di distanza l'uno dall'altro
• Condividevano lo stesso dominio C2, collegandoli allo stesso attore di minaccia
• Gli attacchi hanno abusato di flussi di lavoro CI/CD di rilascio fidati per rubare credenziali su larga scala

Collegamenti di TeamPCP con The Com Collective

I risultati della ricerca non hanno portato alla luce prove dirette che colleghino TeamPCP al collettivo The Com. TeamPCP è stato associato al pipeline di vendita dati di LAPSUS$ e gestisce il proprio binario ransomware CipherForce, ma non sono stati trovati collegamenti specifici con The Com nelle fonti disponibili .

Cosa devono fare i difensori

La campagna TeamPCP rappresenta un punto di svolta nella sicurezza cloud: gli aggressori non stanno più aggirando le difese — le stanno armando. I punti chiave per i difensori:

1. Trattare le pipeline CI/CD come superfici d'attacco critiche — verificare tutte le autorizzazioni dei flussi di lavoro e adottare il pinning degli SHA di commit
2. Presumere l'esposizione delle credenziali se uno strumento compromesso è stato eseguito — ruotare immediatamente tutti i segreti
3. Investire in MFA resistente al phishing — FIDO2/WebAuthn può impedire accessi successivi anche se i token vengono rubati
4. Monitorare la presenza di repository di staging denominati tpcp-docs o docs-tpcp
5. Prepararsi al modello di partnership operativa — i broker di accesso iniziale ora collaborano formalmente con gli affiliati ransomware

La catena d'attacco: come TeamPCP ha compromesso gli strumenti per sviluppatori

TeamPCP (tracciato come UNC6780 dal Google Threat Intelligence Group, con gli alias DeadCatx3, PCPcat e ShellForce) è partito da un singolo token di accesso personale GitHub non completamente ruotato .

Sequenza di furto di credenziali

• 19 marzo — Trivy di Aqua Security: la compromissione iniziale. TeamPCP ha ottenuto l'accesso alle chiavi di firma di GitHub Actions e Docker Hub di Trivy, quindi ha forzato il push di codice malevolo su 75 dei 76 tag di versione di trivy-action e ha pubblicato binari avvelenati su GitHub Releases e Docker Hub . A questo è stato assegnato CVE-2026-33634 con un punteggio CVSS di 9.4 .

• 20 marzo — LiteLLM di BerriAI: utilizzando le credenziali rubate dalla pipeline di Trivy, TeamPCP ha pubblicato versioni malevole di LiteLLM, un gateway AI utilizzato per accedere a oltre 100 API LLM, su PyPI e NPM .

• 27 marzo — Telnyx PyPI: TeamPCP ha pubblicato versioni malevole (4.87.1 e 4.87.2) dell'SDK Python di Telnyx .

• 22 aprile — Checkmarx KICS e Bitwarden CLI: ondate successive hanno preso di mira lo scanner di sicurezza KICS di Checkmarx e la CLI di Bitwarden a poche ore di distanza l'una dall'altra, condividendo la stessa infrastruttura C2 . TrendMicro ha confermato che queste facevano parte della più ampia campagna TeamPCP .

Cascata tra ecosistemi (6 giorni)

In sei giorni, l'attacco si è diffuso attraverso:

• GitHub Actions — flussi di lavoro CI/CD avvelenati hanno rubato token e chiavi di firma
• Docker Hub — immagini container malevole pubblicate tramite account compromessi
• PyPI — pacchetti LiteLLM e Telnyx malevoli
• NPM — pacchetti infetti
• OpenVSX (marketplace di estensioni VS Code) — estensioni avvelenate

Questo è stato successivamente caratterizzato come il primo worm di supply chain auto-propaganante documentato in grado di attraversare autonomamente i confini tra ecosistemi .

Scala dell'impatto

• Oltre 1.000 ambienti cloud aziendali compromessi, secondo i report di Halcyon sulla fase di estorsione di Vect . Mandiant stima una crescita prevista fino a 5.000-10.000 .
• Circa 340 GB di dati non compressi rubati dalla sola pipeline Trivy/LiteLLM .
• Approssimativamente 500.000 credenziali raccolte durante l'intera campagna .

Allerta FLASH dell'FBI (2 luglio 2026)

Il 2 luglio 2026, la divisione cyber dell'FBI ha emesso un'allerta critica (riportata dai media spagnoli il 3 luglio) confermando che TeamPCP si era infiltrato negli ambienti di sviluppo e aveva esfiltrato token di accesso al cloud, chiavi SSH e segreti Kubernetes .

Raccomandazioni specifiche dell'FBI per la mitigazione

Sulla base della copertura dell'allerta, l'FBI ha consigliato alle organizzazioni di:

• Verificare le pipeline di build/deployment per versioni di strumenti compromesse utilizzate tra il 19 e il 24 marzo; considerare rubate tutte le credenziali accessibili in quegli ambienti
• Ruotare tutte le credenziali che potrebbero essere state esposte
• Fissare i flussi di lavoro di GitHub Actions agli SHA di commit completi (hash verificati) invece che a tag o rami
• Applicare privilegi minimi per le autorizzazioni CI/CD — limitare a quali token e segreti i flussi di lavoro possono accedere
• Implementare MFA resistente al phishing (ad esempio FIDO2/WebAuthn)
• Ruotare immediatamente tutti i token cloud, le chiavi SSH e i segreti Kubernetes
• Cercare repository sospetti denominati "tpcp-docs" o "docs-tpcp" utilizzati dagli aggressori per lo staging

L'allerta ha anche notato che i dati e le credenziali già esfiltrati dovrebbero essere considerati un rischio persistente .

Partnership con il ransomware Vect

Partnership operativa formale (fine marzo 2026)

• 26-27 marzo 2026 — TeamPCP ha stretto una partnership formale con l'operazione Vect ransomware-as-a-service (RaaS), apparsa per la prima volta nel dicembre 2025 .
• La partnership è stata annunciata sul forum dark web "Breached" .
• Vect ha immediatamente iniziato a utilizzare l'accesso alle credenziali rubate da TeamPCP per estorsione a doppio riscatto — crittografando le vittime e pubblicando i dati rubati .
• I primi dati di una vittima nominata dalla compromissione di Trivy sono stati pubblicati da Vect a metà aprile 2026 .

Ulteriore partnership di Vect con BreachForums (16-18 aprile 2026)

• Intorno al 16-18 aprile 2026, Vect ha stretto un'ulteriore partnership con il marketplace cybercriminale BreachForums .
• Secondo questo accordo, a tutti i circa 300.000 utenti registrati di BreachForums è stato dato accesso alle chiavi affiliate di Vect, espandendo massicciamente la base di operatori ransomware .
• Il Dataminr Intel Brief ha descritto questa convergenza come "mobilitazione di affiliazione senza precedenti" .

Ricerca Sophos (24 aprile 2026)

Sophos X-Ops ha pubblicato una ricerca il 24 aprile 2026 documentando le compromissioni di Checkmarx KICS e Bitwarden CLI come parte della campagna TeamPCP . Risultati chiave:

• Entrambi gli strumenti sono stati dirottati il 22 aprile 2026 a poche ore di distanza l'uno dall'altro
• Condividevano lo stesso dominio C2, collegandoli allo stesso attore di minaccia
• Gli attacchi hanno abusato di flussi di lavoro CI/CD di rilascio fidati per rubare credenziali su larga scala

Collegamenti di TeamPCP con The Com Collective

I risultati della ricerca non hanno portato alla luce prove dirette che colleghino TeamPCP al collettivo The Com. TeamPCP è stato associato al pipeline di vendita dati di LAPSUS$ e gestisce il proprio binario ransomware CipherForce, ma non sono stati trovati collegamenti specifici con The Com nelle fonti disponibili .

Cosa devono fare i difensori

La campagna TeamPCP rappresenta un punto di svolta nella sicurezza cloud: gli aggressori non stanno più aggirando le difese — le stanno armando. I punti chiave per i difensori:

1. Trattare le pipeline CI/CD come superfici d'attacco critiche — verificare tutte le autorizzazioni dei flussi di lavoro e adottare il pinning degli SHA di commit
2. Presumere l'esposizione delle credenziali se uno strumento compromesso è stato eseguito — ruotare immediatamente tutti i segreti
3. Investire in MFA resistente al phishing — FIDO2/WebAuthn può impedire accessi successivi anche se i token vengono rubati
4. Monitorare la presenza di repository di staging denominati tpcp-docs o docs-tpcp
5. Prepararsi al modello di partnership operativa — i broker di accesso iniziale ora collaborano formalmente con gli affiliati ransomware