Dentro do Ataque à Cadeia de Suprimentos do TeamPCP: Alerta do FBI, Ransomware Vect e o que os Defensores Precisam Fazer Agora

O que aconteceu?

Entre 19 e 27 de março de 2026, o ator de ameaças conhecido como TeamPCP (também rastreado como UNC6780, DeadCatx3, PCPcat e ShellForce) executou o que pesquisadores de segurança chamaram de "um dos maiores ataques à cadeia de suprimentos de CI/CD já registrados" ^IS. Partindo de um token de acesso pessoal (PAT) do GitHub não rotacionado adequadamente, o grupo se infiltrou em cinco ecossistemas de pacotes de software em apenas seis dias, comprometendo mais de 1.000 ambientes corporativos em nuvem e fazendo uma parceria formal com a operação de ransomware Vect para transformar o acesso roubado em extorsão ^H.

Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (FLASH alert) detalhando a campanha e fornecendo recomendações específicas de mitigação ^IS. Este artigo sintetiza todas as principais descobertas das fontes de inteligência disponíveis, incluindo o alerta do FBI, pesquisas da Sophos e a cadeia completa do ataque.

A Cadeia do Ataque: Como o TeamPCP Comprometeu Ferramentas de Desenvolvedor

Sequência de Roubo de Credenciais

1. 19 de março — Aqua Security's Trivy: O comprometimento inicial. O TeamPCP obteve acesso às chaves de assinatura do GitHub Actions e do Docker Hub do Trivy, forçou o envio de código malicioso para 75 das 76 tags de versão trivy-action e publicou binários envenenados no GitHub Releases e no Docker Hub ^ISG. Isso gerou o CVE-2026-33634, com pontuação CVSS 9.4 ^G.

2. 20 de março — BerriAI's LiteLLM: Usando credenciais roubadas do pipeline do Trivy, o TeamPCP enviou versões maliciosas do LiteLLM, uma ferramenta gateway de IA usada para acessar mais de 100 APIs de LLM, para o PyPI e o NPM ^ISD.

3. 27 de março — Telnyx PyPI: O TeamPCP publicou versões maliciosas (4.87.1 e 4.87.2) do SDK Python da Telnyx ^IL.

4. 22 de abril — Checkmarx KICS e Bitwarden CLI: Ondas posteriores alvejaram o scanner de segurança KICS da Checkmarx e a CLI do Bitwarden com apenas horas de diferença, compartilhando a mesma infraestrutura de C2 ^AS. A TrendMicro confirmou que esses incidentes fazem parte da campanha mais ampla do TeamPCP ^T.

Propagação pelos Ecossistemas (6 Dias)

Em seis dias, o ataque se espalhou por:

• GitHub Actions — Workflows de CI/CD envenenados roubavam tokens e chaves de assinatura.
• Docker Hub — Imagens de contêiner maliciosas enviadas por meio de contas comprometidas.
• PyPI — Pacotes maliciosos do LiteLLM e Telnyx.
• NPM — Pacotes infectados.
• OpenVSX (mercado de extensões do VS Code) — Extensões envenenadas.

Isso foi posteriormente caracterizado como o primeiro verme de cadeia de suprimentos autorreplicante documentado a cruzar limites de ecossistemas de forma autônoma ^L.

Escala do Impacto

• Mais de 1.000 ambientes corporativos em nuvem comprometidos, de acordo com relatórios da Halcyon sobre a fase de extorsão do Vect ^H. A Mandiant projeta que esse número pode crescer para 5.000–10.000 ^M.
• Aproximadamente 340 GB de dados descompactados roubados apenas do pipeline Trivy/LiteLLM ^S.
• Cerca de 500.000 credenciais foram colhidas durante toda a campanha ^T.

Alerta FLASH do FBI (2 de Julho de 2026)

Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (reportado pela mídia espanhola no dia 3 de julho) confirmando que o TeamPCP se infiltrou em ambientes de desenvolvimento e exfiltrou tokens de acesso à nuvem, chaves SSH e segredos do Kubernetes ^ISL.

Recomendações Específicas de Mitigação do FBI

Com base na cobertura do alerta, o FBI aconselhou as organizações a:

• Auditar pipelines de build/deploy em busca de versões de ferramentas comprometidas usadas entre 19 e 24 de março; considere que quaisquer credenciais acessíveis nesses ambientes foram roubadas ^S.
• Rotacionar todas as credenciais que possam ter sido expostas ^S.
• Fixar os workflows do GitHub Actions em hashes SHA completos (hashes verificados) em vez de tags ou branches ^S.
• Impor permissões de CI/CD com privilégio mínimo — restrinja a quais tokens e segredos os workflows podem acessar ^S.
• Implementar MFA resistente a phishing (ex.: FIDO2/WebAuthn) ^S.
• Rotacionar todos os tokens de nuvem, chaves SSH e segredos do Kubernetes imediatamente ^S.
• Procurar por repositórios suspeitos nomeados "tpcp-docs" ou "docs-tpcp" usados pelos atacantes para preparação ^S.

O alerta também observou que os dados e credenciais já exfiltrados devem ser considerados um risco persistente ^S.

Parceria com o Ransomware Vect

Parceria Operacional Formal (Final de Março de 2026)

• 26–27 de março de 2026 — O TeamPCP fez uma parceria formal com a operação de ransomware como serviço (RaaS) Vect, que apareceu pela primeira vez em dezembro de 2025 ^III.
• A parceria foi anunciada no fórum da dark web "Breached" ^S.
• O Vect imediatamente começou a usar o acesso a credenciais roubadas pelo TeamPCP para ransomware de dupla extorsão — criptografando vítimas e publicando dados roubados ^FH.
• O primeiro dado de vítima nomeada do comprometimento do Trivy foi publicado pelo Vect em meados de abril de 2026 ^H.

Parceria Adicional do Vect com o BreachForums (16–18 de Abril de 2026)

• Em aproximadamente 16 a 18 de abril de 2026, o Vect também fez parceria com o mercado de crimes cibernéticos BreachForums ^DH.
• Sob este acordo, todos os ~300.000 usuários registrados do BreachForums receberam acesso a chaves de afiliados do Vect, expandindo massivamente a base de operadores de ransomware ^FD.
• O Dataminr Intel Brief descreveu essa convergência como "mobilização de afiliados sem precedentes" ^D.

Pesquisa da Sophos (24 de Abril de 2026)

A Sophos X-Ops publicou pesquisas em 24 de abril de 2026 documentando os comprometimentos do Checkmarx KICS e Bitwarden CLI como parte da campanha do TeamPCP ^S. Principais descobertas:

• Ambas as ferramentas foram sequestradas em 22 de abril de 2026 com horas de diferença.
• Elas compartilhavam o mesmo domínio de C2, ligando-as ao mesmo ator de ameaça.
• Os ataques abusaram de workflows de release de CI/CD confiáveis para roubar credenciais em escala ^S.

Lições para Defensores

A campanha do TeamPCP representa um ponto de virada na segurança em nuvem: os atacantes não estão mais apenas contornando as defesas — eles estão transformando as ferramentas de defesa em armas. As principais lições para os defensores:

1. Trate os pipelines de CI/CD como superfícies de ataque críticas — audite todas as permissões de workflow e adote a fixação por commit-SHA.
2. Considere a exposição de credenciais se uma ferramenta comprometida foi executada — rotacione todos os segredos imediatamente.
3. Invista em MFA resistente a phishing — FIDO2/WebAuthn pode impedir acessos subsequentes mesmo que tokens sejam roubados.
4. Monitore repositórios de preparação nomeados tpcp-docs ou docs-tpcp.
5. Prepare-se para o modelo de parceria operacional — corretores de acesso inicial agora estão se aliando formalmente a afiliados de ransomware.