Inuti TeamPCP:s leveranskedjeattack: FBI-larmet, Vect-ransomwaren och vad försvarare måste göra nu

Mellan den 19 och 27 mars 2026 genomförde hotaktören TeamPCP vad säkerhetsforskare beskrivit som ”en av de största CI/CD-leveranskedjeattackerna någonsin” . Genom att hoppa mellan fem paketekosystem med hjälp av stulna inloggningsuppgifter från upprepade verktygskomprometteringar lyckades gruppen ta sig in i över 1 000 företagsmolnmiljöer och inledde ett formellt partnerskap med Vect-ransomware-operationen för att omvandla stulen åtkomst till utpressning . Den 2 juli 2026 utfärdade FBI:s Cyber Division en kritisk FLASH-varning som beskrev kampanjen och gav specifika åtgärdsrekommendationer . Den här artikeln sammanfattar alla viktiga slutsatser från tillgänglig hotbildsinformation, inklusive FBI-varningen, Sophos forskning och hela attackkedjan.

Attackkedjan: Hur TeamPCP komprometterade utvecklarverktyg

TeamPCP (spåras som UNC6780 av Googles hotbildsgrupp, även under aliasen DeadCatx3, PCPcat och ShellForce) startade med en enda ofullständigt roterad GitHub-personal access token .

Inloggningsinsamlingssekvensen

• 19 mars — Aqua Securitys Trivy: Den första komprometteringen. TeamPCP fick tillgång till Trivys GitHub Actions- och Docker Hub-signeringsnycklar och tryckte sedan in skadlig kod i 75 av 76 trivy-action-versionstaggar samt publicerade förgiftade binärfiler på GitHub Releases och Docker Hub . Detta tilldelades CVE-2026-33634 med CVSS-poängen 9,4 .

• 20 mars — BerriAIs LiteLLM: Med hjälp av inloggningsuppgifter som stulits från Trivy-pipelinen publicerade TeamPCP skadliga versioner av LiteLLM, ett AI-gatewayverktyg som används för att få åtkomst till över 100 LLM-API:er, på PyPI och NPM .

• 27 mars — Telnyx PyPI: TeamPCP publicerade skadliga versioner (4.87.1 och 4.87.2) av Telnyx Python SDK .

• 22 april — Checkmarx KICS och Bitwarden CLI: Senare vågor riktade sig mot Checkmarxs KICS-säkerhetsskanner och Bitwardens CLI inom några timmar efter varandra, med samma C2-infrastruktur . TrendMicro bekräftade att dessa var en del av den bredare TeamPCP-kampanjen .

Ekosystemkaskaden (6 dagar)

Inom sex dagar spred sig attacken över:

• GitHub Actions — förgiftade CI/CD-arbetsflöden stal tokens och signeringsnycklar
• Docker Hub — skadliga containeravbildningar publicerades via komprometterade konton
• PyPI — skadliga LiteLLM- och Telnyx-paket
• NPM — infekterade paket
• OpenVSX (VS Code-tilläggsmarknadsplats) — förgiftade tillägg

Detta beskrevs senare som den första dokumenterade självförökande leveranskedjemasken som autonomt korsade ekosystemgränser .

Omfattningen av påverkan

• Över 1 000 företagsmolnmiljöer komprometterades, enligt Halcyons rapportering om Vect-utpressningsfasen . Mandiant uppskattade en ökning till 5 000–10 000 .
• Cirka 340 GB okomprimerad data stals enbart från Trivy/LiteLLM-pipelinen .
• Uppskattningsvis 500 000 inloggningsuppgifter samlades in under kampanjen .

FBI:s FLASH-varning (2 juli 2026)

Den 2 juli 2026 utfärdade FBI:s Cyber Division en kritisk varning (rapporterad i spansk media den 3 juli) som bekräftade att TeamPCP hade infiltrerat utvecklingsmiljöer och exfiltrerat molnaccessnycklar, SSH-nycklar och Kubernetes-hemligheter .

FBI:s specifika åtgärdsrekommendationer

Baserat på varningen rekommenderade FBI organisationer att:

• Granska bygg-/distributionspipelines för komprometterade verktygsversioner som använts mellan 19–24 mars; anta att alla inloggningsuppgifter som varit tillgängliga i dessa miljöer har stulits
• Rotera alla inloggningsuppgifter som kan ha exponerats
• Lås GitHub Actions-arbetsflöden till fulla commit-SHA:er (verifierade hashvärden) istället för taggar eller grenar
• Inför minsta behörighetsprincip för CI/CD — begränsa vilka tokens och hemligheter arbetsflöden kan komma åt
• Implementera nätfiskesäker MFA (t.ex. FIDO2/WebAuthn)
• Rotera alla molntokens, SSH-nycklar och Kubernetes-hemligheter omedelbart
• Sök efter misstänkta arkiv med namnen "tpcp-docs" eller "docs-tpcp" som används av angriparna för mellanlagring

Varningen noterade också att redan exfiltrerad data och inloggningsuppgifter bör betraktas som en bestående risk .

Partnerskapet med Vect-ransomware

Formellt operativt partnerskap (slutet av mars 2026)

• 26–27 mars 2026 — TeamPCP ingick ett formellt partnerskap med Vect ransomware-as-a-service (RaaS)-operationen, som först dök upp i december 2025 .
• Partnerskapet tillkännagavs på dark web-forumet ”Breached” .
• Vect började omedelbart använda TeamPCP:s stulna inloggningsuppgifter för dubbel utpressning (double extortion) — kryptering av offer och publicering av stulen data .
• Den första namngivna offerdatan från Trivy-komprometteringen publicerades av Vect i mitten av april 2026 .

Vects ytterligare partnerskap med BreachForums (16–18 april 2026)

• Cirka 16–18 april 2026 inledde Vect ytterligare ett partnerskap med BreachForums cyberbrottsmarknadsplats .
• Enligt avtalet fick alla ~300 000 registrerade BreachForums-användare tillgång till Vect-affiliate-nycklar, vilket massivt utökade ransomware-operatörsbasen .
• Dataminr Intel Brief beskrev denna konvergens som ”oöverträffad affiliate-mobilisering” .

Sophos forskning (24 april 2026)

Sophos X-Ops publicerade forskning den 24 april 2026 som dokumenterade Checkmarx KICS- och Bitwarden CLI-komprometteringarna som en del av TeamPCP-kampanjen . Viktiga slutsatser:

• Båda verktygen kapades den 22 april 2026 inom några timmar efter varandra
• De delade samma C2-domän, vilket kopplade dem till samma hotaktör
• Attackerna missbrukade betrodda CI/CD-release-arbetsflöden för att stjäla inloggningsuppgifter i stor skala

TeamPCP:s kopplingar till The Com-kollektivet

Sökresultaten gav inga direkta bevis för att TeamPCP är kopplat till The Com-kollektivet. TeamPCP har associerats med LAPSUS$ datasäljningspipeline och driver sin egen CipherForce-ransomware-spår, men specifika Com-kopplingar hittades inte i de tillgängliga källorna .

Vad försvarare bör ta med sig

TeamPCP-kampanjen markerar en vändpunkt inom molnsäkerhet: angripare kringgår inte längre försvar — de beväpnar dem. De viktigaste slutsatserna för försvarare:

1. Behandla CI/CD-pipelines som kritiska attackytor — granska alla arbetsflödesbehörigheter och inför commit-SHA-låsning
2. Anta att inloggningsuppgifter är exponerade om ett komprometterat verktyg har körts — rotera alla hemligheter omedelbart
3. Investera i nätfiskesäker MFA — FIDO2/WebAuthn kan förhindra uppföljande åtkomst även om tokens blir stulna
4. Övervaka efter mellanlagringsarkiv med namnen tpcp-docs eller docs-tpcp
5. Förbered dig på den operativa partnerskapsmodellen — initial access-mäklare samarbetar nu formellt med ransomware-affiliates