Como o TeamPCP executou a cascata de cinco dias

O TeamPCP (também rastreado como PCPcat, ShellForce e DeadCatx3) é um grupo cibercriminoso com motivação financeira que está ativo desde meados de 2025 . Sua campanha de março de 2026 foi notável por sua arquitetura em cascata: as credenciais roubadas do pipeline de CI/CD de uma vítima se tornaram o vetor de acesso para o próximo alvo . A cascata se desenrolou ao longo de cinco dias:

Dia 1: Trivy (19 de março)

O TeamPCP obteve acesso inicial à infraestrutura da Aqua Security explorando uma má configuração do fluxo de trabalho pull_request_target — uma falha do tipo "PwnRequest" . Eles interceptaram um token de acesso pessoal recém-rotacionado para a conta de serviço aqua-bot e forçaram o push de tags de versão para apontar para commits maliciosos. Setenta e seis das 77 tags trivy-action e todas as 7 tags setup-trivy foram sequestradas . Esse primeiro comprometimento é rastreado como CVE-2026-33634 (CVSS 9.8 Crítico) .

Dia 2: KICS (23 de março)

Usando tokens roubados de vítimas do Trivy, o TeamPCP se autenticou como a conta de serviço cx-plugins-releases da Checkmarx e enviou releases maliciosos do KICS .

Dia 3: LiteLLM (24 de março)

O pipeline de build do LiteLLM instalou automaticamente o scanner Trivy comprometido, dando ao malware acesso de leitura ao ambiente do runner. O TeamPCP roubou os tokens de publicação do PyPI do LiteLLM e publicou duas releases maliciosas — versões 1.82.7 e 1.82.8 — no PyPI . Os pacotes maliciosos ficaram ativos por apenas aproximadamente 40 minutos antes da descoberta .

O Payload

O malware do LiteLLM implantou um payload de três estágios :

• Um coletor de credenciais que mirava mais de 50 categorias de segredos
• Um kit de movimentação lateral para Kubernetes que escalava para root e implantava pods privilegiados
• Um backdoor persistente para execução remota de código

O malware usou injeção de arquivo .pth para ser executado automaticamente em toda inicialização do interpretador Python, sem exigir importação explícita — tornando-o especialmente difícil de detectar . Em runners comprometidos, o payload — rastreado pelo Google como SANDCLOCK — varria chaves SSH, credenciais AWS/GCP/Azure, tokens de conta de serviço do Kubernetes e senhas de banco de dados .

Organizações afetadas

Vítimas nomeadas identificadas por várias empresas de inteligência de ameaças incluem :

Tecnologia: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Empresas: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telecom/Mídia: Orange, BT Group, SiriusXM/AdsWizz
Outros: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

A Comissão Europeia também foi violada através do comprometimento inicial do Trivy, resultando na exfiltração de credenciais de gestão da AWS e cerca de ~340 GB de dados não compactados roubados, afetando 42 clientes internos e 29 entidades adicionais da UE .

Escala da exposição de credenciais

Os tipos de dados roubados incluem :

• Chaves IAM de nuvem (AWS, GCP, Azure)
• Chaves SSH e segredos do Kubernetes
• Senhas de banco de dados e segredos de cliente do Salesforce
• Segredos de assinatura do Slack e variáveis de ambiente
• Chaves de API de provedores de IA (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

O FBI emitiu um alerta FLASH em 2 de julho de 2026 alertando que as organizações atingidas pela campanha devem tratar os dados e credenciais exfiltrados como um risco persistente, porque atores afiliados provavelmente os usarão como armas .

O risco contínuo de segredos não rotacionados

Apesar da gravidade da violação, o risco está longe de ser contido por várias razões:

O arquivo ainda não vazou

A Hudson Rock, que obteve e analisou o arquivo, relata que o conjunto de dados de 153 GB não está circulando amplamente ainda — chamando-o de "uma janela de oportunidade crítica" para as organizações rotacionarem as chaves antes que ele eventualmente vaze .

Muitas organizações não rotacionaram

O pesquisador de segurança Kevin Beaumont testou credenciais de uma organização que afirmou ter rotacionado tudo. Sua descoberta: "Quase todas funcionaram" .

Credenciais não identificáveis

Uma grande parte dos arquivos despejados contém senhas de banco de dados, chaves de API e credenciais de nuvem sem qualquer e-mail de empresa, domínio personalizado ou nome de servidor interno para identificar a organização proprietária. Essas organizações não podem saber que foram afetadas .

Exposição vs. Comprometimento confirmado

O número de mais de 2.500 reflete exposição reconstruída, não comprometimento confirmado para todas as organizações. A CloudSEK enfatiza que toda organização listada deve verificar de forma independente . Mas o conjunto de dados está agora nas mãos de várias empresas de inteligência de ameaças, e o ciclo natural de uma violação significa que uma circulação mais ampla é esperada.

Principais conclusões para as organizações

Qualquer organização que:

• Executou o LiteLLM versões 1.82.7 ou 1.82.8
• Teve pipelines de CI/CD que consumiram essas versões
• Usou o scanner Trivy comprometido entre 19 e 24 de março de 2026

...deve tratar todos os segredos acessíveis a esse ambiente como comprometidos e rotacioná-los imediatamente, mesmo que nenhuma violação óbvia tenha sido detectada . O alerta FLASH do FBI reforça isso: trate as credenciais exfiltradas como um risco persistente, porque atores afiliados provavelmente as usarão como armas .

O TeamPCP demonstrou que um token não revogado, a três ferramentas de profundidade pode transformar um único vazamento de credencial em uma exposição em todo o ecossistema. O ataque ao LiteLLM é um lembrete claro de que, nas cadeias de suprimentos de software modernas, a ferramenta em que você confia para encontrar vulnerabilidades pode se tornar a própria vulnerabilidade.

Como o TeamPCP executou a cascata de cinco dias

O TeamPCP (também rastreado como PCPcat, ShellForce e DeadCatx3) é um grupo cibercriminoso com motivação financeira que está ativo desde meados de 2025 . Sua campanha de março de 2026 foi notável por sua arquitetura em cascata: as credenciais roubadas do pipeline de CI/CD de uma vítima se tornaram o vetor de acesso para o próximo alvo . A cascata se desenrolou ao longo de cinco dias:

Dia 1: Trivy (19 de março)

O TeamPCP obteve acesso inicial à infraestrutura da Aqua Security explorando uma má configuração do fluxo de trabalho pull_request_target — uma falha do tipo "PwnRequest" . Eles interceptaram um token de acesso pessoal recém-rotacionado para a conta de serviço aqua-bot e forçaram o push de tags de versão para apontar para commits maliciosos. Setenta e seis das 77 tags trivy-action e todas as 7 tags setup-trivy foram sequestradas . Esse primeiro comprometimento é rastreado como CVE-2026-33634 (CVSS 9.8 Crítico) .

Dia 2: KICS (23 de março)

Usando tokens roubados de vítimas do Trivy, o TeamPCP se autenticou como a conta de serviço cx-plugins-releases da Checkmarx e enviou releases maliciosos do KICS .

Dia 3: LiteLLM (24 de março)

O pipeline de build do LiteLLM instalou automaticamente o scanner Trivy comprometido, dando ao malware acesso de leitura ao ambiente do runner. O TeamPCP roubou os tokens de publicação do PyPI do LiteLLM e publicou duas releases maliciosas — versões 1.82.7 e 1.82.8 — no PyPI . Os pacotes maliciosos ficaram ativos por apenas aproximadamente 40 minutos antes da descoberta .

O Payload

O malware do LiteLLM implantou um payload de três estágios :

• Um coletor de credenciais que mirava mais de 50 categorias de segredos
• Um kit de movimentação lateral para Kubernetes que escalava para root e implantava pods privilegiados
• Um backdoor persistente para execução remota de código

O malware usou injeção de arquivo .pth para ser executado automaticamente em toda inicialização do interpretador Python, sem exigir importação explícita — tornando-o especialmente difícil de detectar . Em runners comprometidos, o payload — rastreado pelo Google como SANDCLOCK — varria chaves SSH, credenciais AWS/GCP/Azure, tokens de conta de serviço do Kubernetes e senhas de banco de dados .

Organizações afetadas

Vítimas nomeadas identificadas por várias empresas de inteligência de ameaças incluem :

Tecnologia: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Empresas: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telecom/Mídia: Orange, BT Group, SiriusXM/AdsWizz
Outros: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

A Comissão Europeia também foi violada através do comprometimento inicial do Trivy, resultando na exfiltração de credenciais de gestão da AWS e cerca de ~340 GB de dados não compactados roubados, afetando 42 clientes internos e 29 entidades adicionais da UE .

Escala da exposição de credenciais

Os tipos de dados roubados incluem :

• Chaves IAM de nuvem (AWS, GCP, Azure)
• Chaves SSH e segredos do Kubernetes
• Senhas de banco de dados e segredos de cliente do Salesforce
• Segredos de assinatura do Slack e variáveis de ambiente
• Chaves de API de provedores de IA (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

O FBI emitiu um alerta FLASH em 2 de julho de 2026 alertando que as organizações atingidas pela campanha devem tratar os dados e credenciais exfiltrados como um risco persistente, porque atores afiliados provavelmente os usarão como armas .

O risco contínuo de segredos não rotacionados

Apesar da gravidade da violação, o risco está longe de ser contido por várias razões:

O arquivo ainda não vazou

A Hudson Rock, que obteve e analisou o arquivo, relata que o conjunto de dados de 153 GB não está circulando amplamente ainda — chamando-o de "uma janela de oportunidade crítica" para as organizações rotacionarem as chaves antes que ele eventualmente vaze .

Muitas organizações não rotacionaram

O pesquisador de segurança Kevin Beaumont testou credenciais de uma organização que afirmou ter rotacionado tudo. Sua descoberta: "Quase todas funcionaram" .

Credenciais não identificáveis

Uma grande parte dos arquivos despejados contém senhas de banco de dados, chaves de API e credenciais de nuvem sem qualquer e-mail de empresa, domínio personalizado ou nome de servidor interno para identificar a organização proprietária. Essas organizações não podem saber que foram afetadas .

Exposição vs. Comprometimento confirmado

O número de mais de 2.500 reflete exposição reconstruída, não comprometimento confirmado para todas as organizações. A CloudSEK enfatiza que toda organização listada deve verificar de forma independente . Mas o conjunto de dados está agora nas mãos de várias empresas de inteligência de ameaças, e o ciclo natural de uma violação significa que uma circulação mais ampla é esperada.

Principais conclusões para as organizações

Qualquer organização que:

• Executou o LiteLLM versões 1.82.7 ou 1.82.8
• Teve pipelines de CI/CD que consumiram essas versões
• Usou o scanner Trivy comprometido entre 19 e 24 de março de 2026

...deve tratar todos os segredos acessíveis a esse ambiente como comprometidos e rotacioná-los imediatamente, mesmo que nenhuma violação óbvia tenha sido detectada . O alerta FLASH do FBI reforça isso: trate as credenciais exfiltradas como um risco persistente, porque atores afiliados provavelmente as usarão como armas .

O TeamPCP demonstrou que um token não revogado, a três ferramentas de profundidade pode transformar um único vazamento de credencial em uma exposição em todo o ecossistema. O ataque ao LiteLLM é um lembrete claro de que, nas cadeias de suprimentos de software modernas, a ferramenta em que você confia para encontrar vulnerabilidades pode se tornar a própria vulnerabilidade.