Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (FLASH alert) detalhando a campanha e fornecendo recomendações específicas de mitigação . Este artigo sintetiza todas as principais descobertas das fontes de inteligência disponíveis, incluindo o alerta do FBI, pesquisas da Sophos e a cadeia completa do ataque.

A Cadeia do Ataque: Como o TeamPCP Comprometeu Ferramentas de Desenvolvedor

Sequência de Roubo de Credenciais

1. 19 de março — Aqua Security's Trivy: O comprometimento inicial. O TeamPCP obteve acesso às chaves de assinatura do GitHub Actions e do Docker Hub do Trivy, forçou o envio de código malicioso para 75 das 76 tags de versão trivy-action e publicou binários envenenados no GitHub Releases e no Docker Hub . Isso gerou o CVE-2026-33634, com pontuação CVSS 9.4 .

2. 20 de março — BerriAI's LiteLLM: Usando credenciais roubadas do pipeline do Trivy, o TeamPCP enviou versões maliciosas do LiteLLM, uma ferramenta gateway de IA usada para acessar mais de 100 APIs de LLM, para o PyPI e o NPM .

3. 27 de março — Telnyx PyPI: O TeamPCP publicou versões maliciosas (4.87.1 e 4.87.2) do SDK Python da Telnyx .

4. 22 de abril — Checkmarx KICS e Bitwarden CLI: Ondas posteriores alvejaram o scanner de segurança KICS da Checkmarx e a CLI do Bitwarden com apenas horas de diferença, compartilhando a mesma infraestrutura de C2 . A TrendMicro confirmou que esses incidentes fazem parte da campanha mais ampla do TeamPCP .

Propagação pelos Ecossistemas (6 Dias)

Em seis dias, o ataque se espalhou por:

• GitHub Actions — Workflows de CI/CD envenenados roubavam tokens e chaves de assinatura.
• Docker Hub — Imagens de contêiner maliciosas enviadas por meio de contas comprometidas.
• PyPI — Pacotes maliciosos do LiteLLM e Telnyx.
• NPM — Pacotes infectados.
• OpenVSX (mercado de extensões do VS Code) — Extensões envenenadas.

Isso foi posteriormente caracterizado como o primeiro verme de cadeia de suprimentos autorreplicante documentado a cruzar limites de ecossistemas de forma autônoma .

Escala do Impacto

• Mais de 1.000 ambientes corporativos em nuvem comprometidos, de acordo com relatórios da Halcyon sobre a fase de extorsão do Vect . A Mandiant projeta que esse número pode crescer para 5.000–10.000 .
• Aproximadamente 340 GB de dados descompactados roubados apenas do pipeline Trivy/LiteLLM .
• Cerca de 500.000 credenciais foram colhidas durante toda a campanha .

Alerta FLASH do FBI (2 de Julho de 2026)

Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (reportado pela mídia espanhola no dia 3 de julho) confirmando que o TeamPCP se infiltrou em ambientes de desenvolvimento e exfiltrou tokens de acesso à nuvem, chaves SSH e segredos do Kubernetes .

Recomendações Específicas de Mitigação do FBI

Com base na cobertura do alerta, o FBI aconselhou as organizações a:

• Auditar pipelines de build/deploy em busca de versões de ferramentas comprometidas usadas entre 19 e 24 de março; considere que quaisquer credenciais acessíveis nesses ambientes foram roubadas .
• Rotacionar todas as credenciais que possam ter sido expostas .
• Fixar os workflows do GitHub Actions em hashes SHA completos (hashes verificados) em vez de tags ou branches .
• Impor permissões de CI/CD com privilégio mínimo — restrinja a quais tokens e segredos os workflows podem acessar .
• Implementar MFA resistente a phishing (ex.: FIDO2/WebAuthn) .
• Rotacionar todos os tokens de nuvem, chaves SSH e segredos do Kubernetes imediatamente .
• Procurar por repositórios suspeitos nomeados "tpcp-docs" ou "docs-tpcp" usados pelos atacantes para preparação .

O alerta também observou que os dados e credenciais já exfiltrados devem ser considerados um risco persistente .

Parceria com o Ransomware Vect

Parceria Operacional Formal (Final de Março de 2026)

• 26–27 de março de 2026 — O TeamPCP fez uma parceria formal com a operação de ransomware como serviço (RaaS) Vect, que apareceu pela primeira vez em dezembro de 2025 .
• A parceria foi anunciada no fórum da dark web "Breached" .
• O Vect imediatamente começou a usar o acesso a credenciais roubadas pelo TeamPCP para ransomware de dupla extorsão — criptografando vítimas e publicando dados roubados .
• O primeiro dado de vítima nomeada do comprometimento do Trivy foi publicado pelo Vect em meados de abril de 2026 .

Parceria Adicional do Vect com o BreachForums (16–18 de Abril de 2026)

• Em aproximadamente 16 a 18 de abril de 2026, o Vect também fez parceria com o mercado de crimes cibernéticos BreachForums .
• Sob este acordo, todos os ~300.000 usuários registrados do BreachForums receberam acesso a chaves de afiliados do Vect, expandindo massivamente a base de operadores de ransomware .
• O Dataminr Intel Brief descreveu essa convergência como "mobilização de afiliados sem precedentes" .

Pesquisa da Sophos (24 de Abril de 2026)

A Sophos X-Ops publicou pesquisas em 24 de abril de 2026 documentando os comprometimentos do Checkmarx KICS e Bitwarden CLI como parte da campanha do TeamPCP . Principais descobertas:

• Ambas as ferramentas foram sequestradas em 22 de abril de 2026 com horas de diferença.
• Elas compartilhavam o mesmo domínio de C2, ligando-as ao mesmo ator de ameaça.
• Os ataques abusaram de workflows de release de CI/CD confiáveis para roubar credenciais em escala .

Lições para Defensores

A campanha do TeamPCP representa um ponto de virada na segurança em nuvem: os atacantes não estão mais apenas contornando as defesas — eles estão transformando as ferramentas de defesa em armas. As principais lições para os defensores:

1. Trate os pipelines de CI/CD como superfícies de ataque críticas — audite todas as permissões de workflow e adote a fixação por commit-SHA.
2. Considere a exposição de credenciais se uma ferramenta comprometida foi executada — rotacione todos os segredos imediatamente.
3. Invista em MFA resistente a phishing — FIDO2/WebAuthn pode impedir acessos subsequentes mesmo que tokens sejam roubados.
4. Monitore repositórios de preparação nomeados tpcp-docs ou docs-tpcp.
5. Prepare-se para o modelo de parceria operacional — corretores de acesso inicial agora estão se aliando formalmente a afiliados de ransomware.

Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (FLASH alert) detalhando a campanha e fornecendo recomendações específicas de mitigação . Este artigo sintetiza todas as principais descobertas das fontes de inteligência disponíveis, incluindo o alerta do FBI, pesquisas da Sophos e a cadeia completa do ataque.

A Cadeia do Ataque: Como o TeamPCP Comprometeu Ferramentas de Desenvolvedor

Sequência de Roubo de Credenciais

1. 19 de março — Aqua Security's Trivy: O comprometimento inicial. O TeamPCP obteve acesso às chaves de assinatura do GitHub Actions e do Docker Hub do Trivy, forçou o envio de código malicioso para 75 das 76 tags de versão trivy-action e publicou binários envenenados no GitHub Releases e no Docker Hub . Isso gerou o CVE-2026-33634, com pontuação CVSS 9.4 .

2. 20 de março — BerriAI's LiteLLM: Usando credenciais roubadas do pipeline do Trivy, o TeamPCP enviou versões maliciosas do LiteLLM, uma ferramenta gateway de IA usada para acessar mais de 100 APIs de LLM, para o PyPI e o NPM .

3. 27 de março — Telnyx PyPI: O TeamPCP publicou versões maliciosas (4.87.1 e 4.87.2) do SDK Python da Telnyx .

4. 22 de abril — Checkmarx KICS e Bitwarden CLI: Ondas posteriores alvejaram o scanner de segurança KICS da Checkmarx e a CLI do Bitwarden com apenas horas de diferença, compartilhando a mesma infraestrutura de C2 . A TrendMicro confirmou que esses incidentes fazem parte da campanha mais ampla do TeamPCP .

Propagação pelos Ecossistemas (6 Dias)

Em seis dias, o ataque se espalhou por:

• GitHub Actions — Workflows de CI/CD envenenados roubavam tokens e chaves de assinatura.
• Docker Hub — Imagens de contêiner maliciosas enviadas por meio de contas comprometidas.
• PyPI — Pacotes maliciosos do LiteLLM e Telnyx.
• NPM — Pacotes infectados.
• OpenVSX (mercado de extensões do VS Code) — Extensões envenenadas.

Isso foi posteriormente caracterizado como o primeiro verme de cadeia de suprimentos autorreplicante documentado a cruzar limites de ecossistemas de forma autônoma .

Escala do Impacto

• Mais de 1.000 ambientes corporativos em nuvem comprometidos, de acordo com relatórios da Halcyon sobre a fase de extorsão do Vect . A Mandiant projeta que esse número pode crescer para 5.000–10.000 .
• Aproximadamente 340 GB de dados descompactados roubados apenas do pipeline Trivy/LiteLLM .
• Cerca de 500.000 credenciais foram colhidas durante toda a campanha .

Alerta FLASH do FBI (2 de Julho de 2026)

Em 2 de julho de 2026, a Divisão Cibernética do FBI emitiu um alerta crítico (reportado pela mídia espanhola no dia 3 de julho) confirmando que o TeamPCP se infiltrou em ambientes de desenvolvimento e exfiltrou tokens de acesso à nuvem, chaves SSH e segredos do Kubernetes .

Recomendações Específicas de Mitigação do FBI

Com base na cobertura do alerta, o FBI aconselhou as organizações a:

• Auditar pipelines de build/deploy em busca de versões de ferramentas comprometidas usadas entre 19 e 24 de março; considere que quaisquer credenciais acessíveis nesses ambientes foram roubadas .
• Rotacionar todas as credenciais que possam ter sido expostas .
• Fixar os workflows do GitHub Actions em hashes SHA completos (hashes verificados) em vez de tags ou branches .
• Impor permissões de CI/CD com privilégio mínimo — restrinja a quais tokens e segredos os workflows podem acessar .
• Implementar MFA resistente a phishing (ex.: FIDO2/WebAuthn) .
• Rotacionar todos os tokens de nuvem, chaves SSH e segredos do Kubernetes imediatamente .
• Procurar por repositórios suspeitos nomeados "tpcp-docs" ou "docs-tpcp" usados pelos atacantes para preparação .

O alerta também observou que os dados e credenciais já exfiltrados devem ser considerados um risco persistente .

Parceria com o Ransomware Vect

Parceria Operacional Formal (Final de Março de 2026)

• 26–27 de março de 2026 — O TeamPCP fez uma parceria formal com a operação de ransomware como serviço (RaaS) Vect, que apareceu pela primeira vez em dezembro de 2025 .
• A parceria foi anunciada no fórum da dark web "Breached" .
• O Vect imediatamente começou a usar o acesso a credenciais roubadas pelo TeamPCP para ransomware de dupla extorsão — criptografando vítimas e publicando dados roubados .
• O primeiro dado de vítima nomeada do comprometimento do Trivy foi publicado pelo Vect em meados de abril de 2026 .

Parceria Adicional do Vect com o BreachForums (16–18 de Abril de 2026)

• Em aproximadamente 16 a 18 de abril de 2026, o Vect também fez parceria com o mercado de crimes cibernéticos BreachForums .
• Sob este acordo, todos os ~300.000 usuários registrados do BreachForums receberam acesso a chaves de afiliados do Vect, expandindo massivamente a base de operadores de ransomware .
• O Dataminr Intel Brief descreveu essa convergência como "mobilização de afiliados sem precedentes" .

Pesquisa da Sophos (24 de Abril de 2026)

A Sophos X-Ops publicou pesquisas em 24 de abril de 2026 documentando os comprometimentos do Checkmarx KICS e Bitwarden CLI como parte da campanha do TeamPCP . Principais descobertas:

• Ambas as ferramentas foram sequestradas em 22 de abril de 2026 com horas de diferença.
• Elas compartilhavam o mesmo domínio de C2, ligando-as ao mesmo ator de ameaça.
• Os ataques abusaram de workflows de release de CI/CD confiáveis para roubar credenciais em escala .

Lições para Defensores

A campanha do TeamPCP representa um ponto de virada na segurança em nuvem: os atacantes não estão mais apenas contornando as defesas — eles estão transformando as ferramentas de defesa em armas. As principais lições para os defensores:

1. Trate os pipelines de CI/CD como superfícies de ataque críticas — audite todas as permissões de workflow e adote a fixação por commit-SHA.
2. Considere a exposição de credenciais se uma ferramenta comprometida foi executada — rotacione todos os segredos imediatamente.
3. Invista em MFA resistente a phishing — FIDO2/WebAuthn pode impedir acessos subsequentes mesmo que tokens sejam roubados.
4. Monitore repositórios de preparação nomeados tpcp-docs ou docs-tpcp.
5. Prepare-se para o modelo de parceria operacional — corretores de acesso inicial agora estão se aliando formalmente a afiliados de ransomware.