개발자 도구를 무기화한 TeamPCP, FBI 긴급 경보 발령… Vect 랜섬웨어와 손잡고 1,000개 클라우드 환경 장악

2026년 3월 19일부터 27일 사이, TeamPCP로 알려진 위협 행위자가 보안 연구원들이 '역대 최대 규모의 CI/CD 공급망 공격 중 하나'라고 평가한 작전을 실행했습니다 . TeamPCP는 5개의 패키지 생태계를 가로질러, 연속적인 도구 손상에서 얻은 탈취 자격 증명을 사용해 1,000개가 넘는 엔터프라이즈 클라우드 환경을 장악했으며, 탈취한 접근 권한을 갈취에 활용하기 위해 Vect 랜섬웨어 운영 조직과 공식적으로 파트너십을 체결했습니다 . 2026년 7월 2일, FBI 사이버국은 이 캠페인을 상세히 설명하고 구체적인 완화 권장 사항을 제공하는 중요한 FLASH 경보를 발령했습니다 . 이 글은 FBI 경보, Sophos 연구, 전체 공격 체인을 포함한 이용 가능한 정보 소스의 모든 주요 발견 사항을 종합합니다.

공격 체인: TeamPCP가 개발자 도구를 어떻게 손상시켰나

TeamPCP(Google 위협 인텔리전스 그룹이 추적하는 UNC6780, DeadCatx3, PCPcat, ShellForce 등의 별칭 사용)는 완전히 교체되지 않은 단일 GitHub 개인 액세스 토큰에서 공격을 시작했습니다 .

자격 증명 수집 순서

• 3월 19일 — Aqua Security의 Trivy: 최초 손상. TeamPCP는 Trivy의 GitHub Actions 및 Docker Hub 서명 키에 접근한 후, 76개의 trivy-action 버전 태그 중 75개에 악성 코드를 강제 푸시하고 감염된 바이너리를 GitHub Releases와 Docker Hub에 게시했습니다 . 이는 CVSS 점수 9.4의 CVE-2026-33634로 할당되었습니다 .

• 3월 20일 — BerriAI의 LiteLLM: Trivy 파이프라인에서 탈취한 자격 증명을 사용해 TeamPCP는 100개 이상의 LLM API에 접근하는 데 사용되는 AI 게이트웨이 도구인 LiteLLM의 악성 버전을 PyPI와 NPM에 푸시했습니다 .

• 3월 27일 — Telnyx PyPI: TeamPCP는 Telnyx Python SDK의 악성 버전(4.87.1 및 4.87.2)을 게시했습니다 .

• 4월 22일 — Checkmarx KICS 및 Bitwarden CLI: 이후 공격 물결은 Checkmarx의 KICS 보안 스캐너와 Bitwarden의 CLI를 몇 시간 간격으로 표적으로 삼았으며, 동일한 C2 인프라를 공유했습니다 . TrendMicro는 이를 더 광범위한 TeamPCP 캠페인의 일부로 확인했습니다 .

생태계 연쇄 (6일)

6일 만에 공격은 다음을 통해 확산되었습니다:

• GitHub Actions — 감염된 CI/CD 워크플로우가 토큰과 서명 키를 탈취
• Docker Hub — 손상된 계정을 통해 악성 컨테이너 이미지 푸시
• PyPI — 악성 LiteLLM 및 Telnyx 패키지
• NPM — 감염된 패키지
• OpenVSX (VS Code 확장 마켓플레이스) — 감염된 확장 프로그램

이는 이후 생태계 경계를 자율적으로 넘나드는 최초의 문서화된 자가 전파형 공급망 웜으로 특징지어졌습니다 .

영향 규모

• 1,000개 이상의 엔터프라이즈 클라우드 환경 손상 (Vect 갈취 단계에 대한 Halcyon의 보고 기준) . Mandiant는 5,000~10,000개로 성장할 것으로 추정했습니다 .
• Trivy/LiteLLM 파이프라인 단독으로 약 340GB의 압축되지 않은 데이터 도난 .
• 캠페인 전체를 통해 약 500,000개의 자격 증명 수집 .

FBI FLASH 경보 (2026년 7월 2일)

2026년 7월 2일, FBI 사이버국은 TeamPCP가 개발 환경에 침투하여 클라우드 액세스 토큰, SSH 키, 쿠버네티스 시크릿을 유출했다는 사실을 확인하는 중요한 경보를 발령했습니다 (7월 3일 스페인 언론 보도) .

FBI의 구체적인 완화 권장 사항

경보 내용에 따르면 FBI는 조직에 다음을 권고했습니다:

• 3월 19~24일 사이에 사용된 손상된 도구 버전에 대한 빌드/배포 파이프라인 감사; 해당 환경에서 접근 가능한 모든 자격 증명이 도난당했다고 가정
• 노출될 수 있었던 모든 자격 증명 교체
• GitHub Actions 워크플로우를 전체 커밋 SHA (검증된 해시)에 고정 (태그나 브랜치 대신)
• 최소 권한 CI/CD 권한 적용 — 워크플로우가 접근할 수 있는 토큰과 시크릿 제한
• 피싱 방지 MFA 구현 (예: FIDO2/WebAuthn)
• 모든 클라우드 토큰, SSH 키, 쿠버네티스 시크릿을 즉시 교체
• 공격자가 스테이징에 사용한 "tpcp-docs" 또는 "docs-tpcp"라는 이름의 의심스러운 리포지토리 검색

경보는 또한 이미 유출된 데이터와 자격 증명은 지속적인 위험으로 간주되어야 한다고 언급했습니다 .

Vect 랜섬웨어와의 파트너십

공식 운영 파트너십 (2026년 3월 말)

• 2026년 3월 26~27일 — TeamPCP는 2025년 12월에 처음 등장한 Vect 랜섬웨어-서비스(RaaS) 운영 조직과 공식적으로 파트너십을 체결했습니다 .
• 파트너십은 다크 웹 포럼 'Breached'에서 발표되었습니다 .
• Vect는 즉시 TeamPCP의 탈취한 자격 증명 접근 권한을 이중 갈취 랜섬웨어 — 피해자 데이터 암호화 및 공개 — 에 사용하기 시작했습니다 .
• Trivy 손상으로 인한 첫 번째 명명된 피해자 데이터는 2026년 4월 중순 Vect에 의해 공개되었습니다 .

BreachForums와의 추가 파트너십 (2026년 4월 16~18일)

• 약 2026년 4월 16~18일, Vect는 BreachForums 사이버 범죄 마켓플레이스와 추가로 파트너십을 체결했습니다 .
• 이 계약에 따라 약 300,000명의 등록된 BreachForums 사용자 모두에게 Vect 제휴사 키가 제공되어 랜섬웨어 운영자 기반이 크게 확대되었습니다 .
• Dataminr Intel Brief는 이러한 융합을 '전례 없는 제휴사 동원'이라고 설명했습니다 .

Sophos 연구 (2026년 4월 24일)

Sophos X-Ops는 2026년 4월 24일 TeamPCP 캠페인의 일부로 Checkmarx KICS 및 Bitwarden CLI 손상을 기록한 연구를 발표했습니다 . 주요 발견 사항:

• 두 도구 모두 2026년 4월 22일 몇 시간 간격으로 하이재킹됨
• 동일한 C2 도메인을 공유하여 동일한 위협 행위자와 연결
• 공격은 신뢰할 수 있는 CI/CD 릴리스 워크플로우를 악용하여 대규모로 자격 증명을 탈취

TeamPCP와 The Com Collective의 연관성

검색 결과는 TeamPCP를 The Com 집단과 직접 연결하는 증거를 찾지 못했습니다. TeamPCP는 LAPSUS$ 데이터 판매 파이프라인과 연관되어 있으며 자체 CipherForce 랜섬웨어 트랙을 운영하지만, Com 관련 링크는 이용 가능한 소스에서 발견되지 않았습니다 .

방어자를 위한 핵심 요점

TeamPCP 캠페인은 클라우드 보안의 전환점을 나타냅니다. 공격자는 더 이상 방어를 우회하는 것이 아니라 방어를 무기화하고 있습니다. 방어자를 위한 핵심 요점은 다음과 같습니다:

1. CI/CD 파이프라인을 중요한 공격 표면으로 취급 — 모든 워크플로우 권한을 감사하고 커밋 SHA 고정 채택
2. 손상된 도구가 실행된 경우 자격 증명 노출을 가정 — 모든 시크릿을 즉시 교체
3. 피싱 방지 MFA에 투자 — FIDO2/WebAuthn은 토큰이 도난당하더라도 후속 접근을 방지 가능
4. tpcp-docs 또는 docs-tpcp라는 이름의 스테이징 리포지토리 모니터링
5. 운영 파트너십 모델에 대비 — 초기 접근 중개자가 이제 랜섬웨어 제휴사와 공식적으로 팀을 이루고 있음