Łańcuch ataku: Jak TeamPCP skompromitował narzędzia programistyczne

TeamPCP (śledzony jako UNC6780 przez Google Threat Intelligence Group, używający również aliasów DeadCatx3, PCPcat i ShellForce) rozpoczął atak od pojedynczego, nie w pełni wycofanego osobistego tokena dostępu GitHub .

Sekwencja kradzieży danych uwierzytelniających

• 19 marca — Trivy od Aqua Security: Początkowa kompromitacja. TeamPCP uzyskał dostęp do kluczy podpisywania GitHub Actions i Docker Hub dla Trivy, a następnie wymusił wypchnięcie złośliwego kodu do 75 z 76 tagów wersji trivy-action i opublikował zatrute pliki binarne na GitHub Releases i Docker Hub . Przypisano jej CVE-2026-33634 z wynikiem CVSS 9.4 .

• 20 marca — LiteLLM od BerriAI: Używając danych uwierzytelniających skradzionych z potoku Trivy, TeamPCP wypchnął złośliwe wersje LiteLLM, narzędzia będącego bramą AI używaną do dostępu do ponad 100 API LLM, do PyPI i NPM .

• 27 marca — Telnyx PyPI: TeamPCP opublikował złośliwe wersje (4.87.1 i 4.87.2) pakietu SDK Telnyx dla Pythona .

• 22 kwietnia — Checkmarx KICS i Bitwarden CLI: Późniejsze fale zaatakowały skaner bezpieczeństwa KICS od Checkmarx i interfejs CLI Bitwarden w odstępie kilku godzin od siebie, dzieląc tę samą infrastrukturę C2 . TrendMicro potwierdziło, że są one częścią szerszej kampanii TeamPCP .

Kaskada ekosystemów (6 dni)

W ciągu sześciu dni atak rozprzestrzenił się na:

• GitHub Actions — zatrute workflowy CI/CD kradły tokeny i klucze podpisywania
• Docker Hub — złośliwe obrazy kontenerów wypchnięte za pomocą skompromitowanych kont
• PyPI — złośliwe pakiety LiteLLM i Telnyx
• NPM — zainfekowane pakiety
• OpenVSX (rynek rozszerzeń VS Code) — zatrute rozszerzenia

Atak został później scharakteryzowany jako pierwszy udokumentowany samorozprzestrzeniający się robak atakujący łańcuch dostaw, który autonomicznie przekraczał granice ekosystemów .

Skala wpływu

• Ponad 1000 środowisk chmurowych skompromitowanych, według raportów Halcyon na temat fazy wymuszeń Vect . Mandiant szacuje wzrost do 5000–10 000 .
• Około 340 GB nieskompresowanych danych skradzionych z samego potoku Trivy/LiteLLM .
• Około 500 000 danych uwierzytelniających zebranych w całej kampanii .

Alert FBI FLASH (2 lipca 2026)

2 lipca 2026 roku Wydział Cybernetyczny FBI wydał krytyczny alert (odnotowany w hiszpańskich mediach 3 lipca), potwierdzający, że TeamPCP przedostał się do środowisk programistycznych i wyeksfiltrował tokeny dostępu do chmury, klucze SSH i sekrety Kubernetes .

Konkretne zalecenia FBI dotyczące zabezpieczeń

Na podstawie treści alertu FBI doradzał organizacjom:

• Audyt potoków budowania/wdrażania pod kątem skompromitowanych wersji narzędzi używanych między 19 a 24 marca; należy założyć, że wszystkie dane uwierzytelniające dostępne w tych środowiskach zostały skradzione
• Zmiana wszystkich danych uwierzytelniających, które mogły zostać narażone
• Przypinanie workflowów GitHub Actions do pełnych hash-y commitów (zweryfikowane hashe) zamiast do tagów lub gałęzi
• Wymuszanie zasady najmniejszych uprawnień CI/CD — ograniczenie, do jakich tokenów i sekretów workflowy mają dostęp
• Wdrożenie MFA odpornego na phishing (np. FIDO2/WebAuthn)
• Natychmiastowa zmiana wszystkich tokenów chmury, kluczy SSH i sekretów Kubernetes
• Szukanie podejrzanych repozytoriów o nazwach "tpcp-docs" lub "docs-tpcp" używanych przez atakujących do przygotowań

Alert zauważył również, że już wyeksfiltrowane dane i dane uwierzytelniające należy uznać za trwałe zagrożenie .

Partnerstwo z ransomware Vect

Formalna współpraca operacyjna (koniec marca 2026)

• 26–27 marca 2026 — TeamPCP formalnie nawiązał współpracę z ransomware-as-a-service (RaaS) Vect, który po raz pierwszy pojawił się w grudniu 2025 roku .
• Partnerstwo ogłoszono na dark webowym forum „Breached” .
• Vect natychmiast zaczął używać skradzionych przez TeamPCP danych uwierzytelniających do podwójnego wymuszenia (double-extortion) — szyfrowania ofiar i publikowania skradzionych danych .
• Pierwsze nazwane dane ofiary z kompromitacji Trivy zostały opublikowane przez Vect w połowie kwietnia 2026 .

Dodatkowe partnerstwo Vect z BreachForums (16–18 kwietnia 2026)

• Około 16–18 kwietnia 2026 Vect dodatkowo nawiązał współpracę z rynek cyberprzestępczy BreachForums .
• Na mocy tej umowy wszyscy ~300 000 zarejestrowanych użytkowników BreachForums otrzymali dostęp do kluczy affiliateskich Vect, co masowo rozszerzyło bazę operatorów ransomware .
• Dataminr Intel Brief opisał tę konwergencję jako „bezprecedensową mobilizację affiliateską” .

Badania Sophos (24 kwietnia 2026)

Sophos X-Ops opublikował badania 24 kwietnia 2026 dokumentujące kompromitacje Checkmarx KICS i Bitwarden CLI jako część kampanii TeamPCP . Kluczowe wnioski:

• Oba narzędzia zostały przejęte 22 kwietnia 2026 w odstępie kilku godzin od siebie
• Dzieliły tę samą domenę C2, co łączy je z tym samym aktorem zagrożenia
• Ataki nadużywały zaufanych workflowów wydawniczych CI/CD do kradzieży danych uwierzytelniających na dużą skalę

Powiązania TeamPCP z kolektywem The Com

Wyniki wyszukiwania nie ujawniły bezpośrednich dowodów łączących TeamPCP z kolektywem The Com. TeamPCP był powiązany z potokiem sprzedaży danych LAPSUS$ i prowadzi własny tor ransomware CipherForce, ale nie znaleziono konkretnych powiązań z Com w dostępnych źródłach .

Wnioski dla obrońców

Kampania TeamPCP stanowi punkt zwrotny w bezpieczeństwie chmury: atakujący nie omijają już zabezpieczeń – uzbrajają je. Kluczowe wnioski dla obrońców:

1. Traktuj potoki CI/CD jako krytyczne powierzchnie ataku — audytuj wszystkie uprawnienia workflowów i przyjmij przypinanie do hash-y commitów
2. Zakładaj naruszenie danych uwierzytelniających, jeśli uruchomiono skompromitowane narzędzie — natychmiast zmień wszystkie sekrety
3. Zainwestuj w MFA odporne na phishing — FIDO2/WebAuthn może zapobiec dalszemu dostępowi nawet w przypadku kradzieży tokenów
4. Monitoruj pod kątem repozytoriów przygotowawczych nazwanych tpcp-docs lub docs-tpcp
5. Przygotuj się na model partnerstwa operacyjnego — brokerzy początkowego dostępu formalnie łączą się teraz z affiliatekimi ransomware

Łańcuch ataku: Jak TeamPCP skompromitował narzędzia programistyczne

TeamPCP (śledzony jako UNC6780 przez Google Threat Intelligence Group, używający również aliasów DeadCatx3, PCPcat i ShellForce) rozpoczął atak od pojedynczego, nie w pełni wycofanego osobistego tokena dostępu GitHub .

Sekwencja kradzieży danych uwierzytelniających

• 19 marca — Trivy od Aqua Security: Początkowa kompromitacja. TeamPCP uzyskał dostęp do kluczy podpisywania GitHub Actions i Docker Hub dla Trivy, a następnie wymusił wypchnięcie złośliwego kodu do 75 z 76 tagów wersji trivy-action i opublikował zatrute pliki binarne na GitHub Releases i Docker Hub . Przypisano jej CVE-2026-33634 z wynikiem CVSS 9.4 .

• 20 marca — LiteLLM od BerriAI: Używając danych uwierzytelniających skradzionych z potoku Trivy, TeamPCP wypchnął złośliwe wersje LiteLLM, narzędzia będącego bramą AI używaną do dostępu do ponad 100 API LLM, do PyPI i NPM .

• 27 marca — Telnyx PyPI: TeamPCP opublikował złośliwe wersje (4.87.1 i 4.87.2) pakietu SDK Telnyx dla Pythona .

• 22 kwietnia — Checkmarx KICS i Bitwarden CLI: Późniejsze fale zaatakowały skaner bezpieczeństwa KICS od Checkmarx i interfejs CLI Bitwarden w odstępie kilku godzin od siebie, dzieląc tę samą infrastrukturę C2 . TrendMicro potwierdziło, że są one częścią szerszej kampanii TeamPCP .

Kaskada ekosystemów (6 dni)

W ciągu sześciu dni atak rozprzestrzenił się na:

• GitHub Actions — zatrute workflowy CI/CD kradły tokeny i klucze podpisywania
• Docker Hub — złośliwe obrazy kontenerów wypchnięte za pomocą skompromitowanych kont
• PyPI — złośliwe pakiety LiteLLM i Telnyx
• NPM — zainfekowane pakiety
• OpenVSX (rynek rozszerzeń VS Code) — zatrute rozszerzenia

Atak został później scharakteryzowany jako pierwszy udokumentowany samorozprzestrzeniający się robak atakujący łańcuch dostaw, który autonomicznie przekraczał granice ekosystemów .

Skala wpływu

• Ponad 1000 środowisk chmurowych skompromitowanych, według raportów Halcyon na temat fazy wymuszeń Vect . Mandiant szacuje wzrost do 5000–10 000 .
• Około 340 GB nieskompresowanych danych skradzionych z samego potoku Trivy/LiteLLM .
• Około 500 000 danych uwierzytelniających zebranych w całej kampanii .

Alert FBI FLASH (2 lipca 2026)

2 lipca 2026 roku Wydział Cybernetyczny FBI wydał krytyczny alert (odnotowany w hiszpańskich mediach 3 lipca), potwierdzający, że TeamPCP przedostał się do środowisk programistycznych i wyeksfiltrował tokeny dostępu do chmury, klucze SSH i sekrety Kubernetes .

Konkretne zalecenia FBI dotyczące zabezpieczeń

Na podstawie treści alertu FBI doradzał organizacjom:

• Audyt potoków budowania/wdrażania pod kątem skompromitowanych wersji narzędzi używanych między 19 a 24 marca; należy założyć, że wszystkie dane uwierzytelniające dostępne w tych środowiskach zostały skradzione
• Zmiana wszystkich danych uwierzytelniających, które mogły zostać narażone
• Przypinanie workflowów GitHub Actions do pełnych hash-y commitów (zweryfikowane hashe) zamiast do tagów lub gałęzi
• Wymuszanie zasady najmniejszych uprawnień CI/CD — ograniczenie, do jakich tokenów i sekretów workflowy mają dostęp
• Wdrożenie MFA odpornego na phishing (np. FIDO2/WebAuthn)
• Natychmiastowa zmiana wszystkich tokenów chmury, kluczy SSH i sekretów Kubernetes
• Szukanie podejrzanych repozytoriów o nazwach "tpcp-docs" lub "docs-tpcp" używanych przez atakujących do przygotowań

Alert zauważył również, że już wyeksfiltrowane dane i dane uwierzytelniające należy uznać za trwałe zagrożenie .

Partnerstwo z ransomware Vect

Formalna współpraca operacyjna (koniec marca 2026)

• 26–27 marca 2026 — TeamPCP formalnie nawiązał współpracę z ransomware-as-a-service (RaaS) Vect, który po raz pierwszy pojawił się w grudniu 2025 roku .
• Partnerstwo ogłoszono na dark webowym forum „Breached” .
• Vect natychmiast zaczął używać skradzionych przez TeamPCP danych uwierzytelniających do podwójnego wymuszenia (double-extortion) — szyfrowania ofiar i publikowania skradzionych danych .
• Pierwsze nazwane dane ofiary z kompromitacji Trivy zostały opublikowane przez Vect w połowie kwietnia 2026 .

Dodatkowe partnerstwo Vect z BreachForums (16–18 kwietnia 2026)

• Około 16–18 kwietnia 2026 Vect dodatkowo nawiązał współpracę z rynek cyberprzestępczy BreachForums .
• Na mocy tej umowy wszyscy ~300 000 zarejestrowanych użytkowników BreachForums otrzymali dostęp do kluczy affiliateskich Vect, co masowo rozszerzyło bazę operatorów ransomware .
• Dataminr Intel Brief opisał tę konwergencję jako „bezprecedensową mobilizację affiliateską” .

Badania Sophos (24 kwietnia 2026)

Sophos X-Ops opublikował badania 24 kwietnia 2026 dokumentujące kompromitacje Checkmarx KICS i Bitwarden CLI jako część kampanii TeamPCP . Kluczowe wnioski:

• Oba narzędzia zostały przejęte 22 kwietnia 2026 w odstępie kilku godzin od siebie
• Dzieliły tę samą domenę C2, co łączy je z tym samym aktorem zagrożenia
• Ataki nadużywały zaufanych workflowów wydawniczych CI/CD do kradzieży danych uwierzytelniających na dużą skalę

Powiązania TeamPCP z kolektywem The Com

Wyniki wyszukiwania nie ujawniły bezpośrednich dowodów łączących TeamPCP z kolektywem The Com. TeamPCP był powiązany z potokiem sprzedaży danych LAPSUS$ i prowadzi własny tor ransomware CipherForce, ale nie znaleziono konkretnych powiązań z Com w dostępnych źródłach .

Wnioski dla obrońców

Kampania TeamPCP stanowi punkt zwrotny w bezpieczeństwie chmury: atakujący nie omijają już zabezpieczeń – uzbrajają je. Kluczowe wnioski dla obrońców:

1. Traktuj potoki CI/CD jako krytyczne powierzchnie ataku — audytuj wszystkie uprawnienia workflowów i przyjmij przypinanie do hash-y commitów
2. Zakładaj naruszenie danych uwierzytelniających, jeśli uruchomiono skompromitowane narzędzie — natychmiast zmień wszystkie sekrety
3. Zainwestuj w MFA odporne na phishing — FIDO2/WebAuthn może zapobiec dalszemu dostępowi nawet w przypadku kradzieży tokenów
4. Monitoruj pod kątem repozytoriów przygotowawczych nazwanych tpcp-docs lub docs-tpcp
5. Przygotuj się na model partnerstwa operacyjnego — brokerzy początkowego dostępu formalnie łączą się teraz z affiliatekimi ransomware