Så genomförde TeamPCP kaskadattacken på fem dagar

TeamPCP (även känt som PCPcat, ShellForce och DeadCatx3) är en ekonomiskt motiverad cyberbrottsgrupp som varit aktiv sedan mitten av 2025 . Deras kampanj i mars 2026 var anmärkningsvärd för sin kaskadarkitektur: inloggningsuppgifter som stulits från ett offers CI/CD-pipeline blev åtkomstvektorn för nästa mål . Kaskaden utspelade sig över fem dagar:

Dag 1: Trivy (19 mars)

TeamPCP fick initial åtkomst till Aqua Securitys infrastruktur genom att utnyttja en felkonfiguration i arbetsflödet pull_request_target – ett "PwnRequest"-fel . De fångade upp en nyligen roterad personlig åtkomsttoken för tjänstkontot aqua-bot och tvingade fram versionstaggar som pekade på skadliga commits. Sjuttioosex av 77 trivy-action-taggar och alla 7 setup-trivy-taggar kapades . Denna första kompromett spåras som CVE-2026-33634 (CVSS 9.8 Critical) .

Dag 2: KICS (23 mars)

Med hjälp av tokens som stulits från Trivy-offer autentiserade TeamPCP sig som Checkmarx tjänstekonto cx-plugins-releases och publicerade skadliga KICS-versioner .

Dag 3: LiteLLM (24 mars)

LiteLLM:s byggpipeline installerade automatiskt den komprometterade Trivy-skannern, vilket gav skadlig kod läsåtkomst till runner-miljön. TeamPCP stal LiteLLM:s PyPI-publiceringstokens och publicerade två skadliga versioner – version 1.82.7 och 1.82.8 – till PyPI . De skadliga paketen var tillgängliga i endast cirka 40 minuter innan de upptäcktes .

Skadlig kod

Skadlig kod i LiteLLM distribuerade en trestegspayload :

• En stöld av inloggningsuppgifter som riktade in sig på 50+ kategorier av hemligheter
• En Kubernetes lateral rörelse-verktygslåda som eskalerade till root och distribuerade privilegierade poddar
• En bestående bakdörr för fjärrexekvering av kod

Den skadliga koden använde .pth-fil-injektion för att automatiskt köras vid varje Python-interpreter-start, utan att kräva explicit import – vilket gjorde den särskilt svår att upptäcka . På komprometterade runners – spårad av Google som SANDCLOCK – samlades SSH-nycklar, AWS/GCP/Azure-inloggningsuppgifter, Kubernetes-tjänstkonto-tokens och databaslösenord in .

Drabbade organisationer

Namngivna offer identifierade av flera hotintelligensföretag inkluderar :

Teknik: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Företag: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Media: Orange, BT Group, SiriusXM/AdsWizz
Övrigt: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europeiska kommissionen drabbades också via den ursprungliga Trivy-komprometteringen, vilket resulterade i exfiltrering av AWS-hanteringsuppgifter och ~340 GB okomprimerad data stulen, vilket påverkade 42 interna klienter och 29 ytterligare EU-enheter .

Omfattning av exponerade inloggningsuppgifter

De stulna datatyperna inkluderar :

• IAM-nycklar för molnet (AWS, GCP, Azure)
• SSH-nycklar och Kubernetes-hemligheter
• Databaslösenord och Salesforce-klienthemligheter
• Slack-signeringshemligheter och miljövariabler
• AI-leverantörs-API-nycklar (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI utfärdade en FLASH-rådgivning den 2 juli 2026 och varnade för att organisationer som drabbats av kampanjen bör behandla exfiltrerad data och inloggningsuppgifter som en bestående risk, eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

Den pågående risken från ej roterade hemligheter

Trots allvaret i intrånget är risken långt ifrån begränsad av flera skäl:

Arkivet har inte läckt ännu

Hudson Rock, som fick tag på och analyserade arkivet, rapporterar att datasetet på 153 GB inte cirkulerar brett ännu – och kallar det "ett kritiskt fönster av möjligheter" för organisationer att rotera nycklar innan det så småningom läcker .

Många organisationer har inte roterat

Säkerhetsforskaren Kevin Beaumont testade inloggningsuppgifter från en organisation som påstod sig ha roterat allt. Hans upptäckt: "Nästan alla fungerade" .

Oidentifierbara inloggningsuppgifter

En stor andel av de dumpade filerna innehåller databaslösenord, API-nycklar och molnuppgifter utan någon företagsmejl, anpassad domän eller internt servernamn för att identifiera den ägande organisationen. De organisationerna kan inte veta att de är drabbade .

Exponering vs. bekräftad kompromettering

Siffran 2 500+ återspeglar rekonstruerad exponering, inte bekräftad kompromettering för varje organisation. CloudSEK understryker att varje listad organisation bör verifiera självständigt . Men datasetet är nu i händerna på flera hotintelligensföretag, och den naturliga cykeln för ett intrång innebär att bredare spridning förväntas.

Viktiga slutsatser för organisationer

Varje organisation som:

• Körde LiteLLM version 1.82.7 eller 1.82.8
• Hade CI/CD-pipelines som konsumerade dessa versioner
• Använde den komprometterade Trivy-skannern mellan 19 och 24 mars 2026

...bör behandla alla hemligheter som var tillgängliga för den miljön som komprometterade och rotera dem omedelbart, även om inget uppenbart intrång har upptäckts . FBIs FLASH-rådgivning förstärker detta: behandla exfiltrerade inloggningsuppgifter som en bestående risk eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

TeamPCP visade att en enda återkallad token, tre verktyg djupt kan förvandla en enda läcka av inloggningsuppgifter till exponering i hela ekosystemet. LiteLLM-attacken är en skarp påminnelse om att i moderna programvaruleveranskedjor kan verktyget du litar på för att hitta sårbarheter självt bli sårbarheten.

Så genomförde TeamPCP kaskadattacken på fem dagar

TeamPCP (även känt som PCPcat, ShellForce och DeadCatx3) är en ekonomiskt motiverad cyberbrottsgrupp som varit aktiv sedan mitten av 2025 . Deras kampanj i mars 2026 var anmärkningsvärd för sin kaskadarkitektur: inloggningsuppgifter som stulits från ett offers CI/CD-pipeline blev åtkomstvektorn för nästa mål . Kaskaden utspelade sig över fem dagar:

Dag 1: Trivy (19 mars)

TeamPCP fick initial åtkomst till Aqua Securitys infrastruktur genom att utnyttja en felkonfiguration i arbetsflödet pull_request_target – ett "PwnRequest"-fel . De fångade upp en nyligen roterad personlig åtkomsttoken för tjänstkontot aqua-bot och tvingade fram versionstaggar som pekade på skadliga commits. Sjuttioosex av 77 trivy-action-taggar och alla 7 setup-trivy-taggar kapades . Denna första kompromett spåras som CVE-2026-33634 (CVSS 9.8 Critical) .

Dag 2: KICS (23 mars)

Med hjälp av tokens som stulits från Trivy-offer autentiserade TeamPCP sig som Checkmarx tjänstekonto cx-plugins-releases och publicerade skadliga KICS-versioner .

Dag 3: LiteLLM (24 mars)

LiteLLM:s byggpipeline installerade automatiskt den komprometterade Trivy-skannern, vilket gav skadlig kod läsåtkomst till runner-miljön. TeamPCP stal LiteLLM:s PyPI-publiceringstokens och publicerade två skadliga versioner – version 1.82.7 och 1.82.8 – till PyPI . De skadliga paketen var tillgängliga i endast cirka 40 minuter innan de upptäcktes .

Skadlig kod

Skadlig kod i LiteLLM distribuerade en trestegspayload :

• En stöld av inloggningsuppgifter som riktade in sig på 50+ kategorier av hemligheter
• En Kubernetes lateral rörelse-verktygslåda som eskalerade till root och distribuerade privilegierade poddar
• En bestående bakdörr för fjärrexekvering av kod

Den skadliga koden använde .pth-fil-injektion för att automatiskt köras vid varje Python-interpreter-start, utan att kräva explicit import – vilket gjorde den särskilt svår att upptäcka . På komprometterade runners – spårad av Google som SANDCLOCK – samlades SSH-nycklar, AWS/GCP/Azure-inloggningsuppgifter, Kubernetes-tjänstkonto-tokens och databaslösenord in .

Drabbade organisationer

Namngivna offer identifierade av flera hotintelligensföretag inkluderar :

Teknik: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Företag: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Media: Orange, BT Group, SiriusXM/AdsWizz
Övrigt: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europeiska kommissionen drabbades också via den ursprungliga Trivy-komprometteringen, vilket resulterade i exfiltrering av AWS-hanteringsuppgifter och ~340 GB okomprimerad data stulen, vilket påverkade 42 interna klienter och 29 ytterligare EU-enheter .

Omfattning av exponerade inloggningsuppgifter

De stulna datatyperna inkluderar :

• IAM-nycklar för molnet (AWS, GCP, Azure)
• SSH-nycklar och Kubernetes-hemligheter
• Databaslösenord och Salesforce-klienthemligheter
• Slack-signeringshemligheter och miljövariabler
• AI-leverantörs-API-nycklar (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI utfärdade en FLASH-rådgivning den 2 juli 2026 och varnade för att organisationer som drabbats av kampanjen bör behandla exfiltrerad data och inloggningsuppgifter som en bestående risk, eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

Den pågående risken från ej roterade hemligheter

Trots allvaret i intrånget är risken långt ifrån begränsad av flera skäl:

Arkivet har inte läckt ännu

Hudson Rock, som fick tag på och analyserade arkivet, rapporterar att datasetet på 153 GB inte cirkulerar brett ännu – och kallar det "ett kritiskt fönster av möjligheter" för organisationer att rotera nycklar innan det så småningom läcker .

Många organisationer har inte roterat

Säkerhetsforskaren Kevin Beaumont testade inloggningsuppgifter från en organisation som påstod sig ha roterat allt. Hans upptäckt: "Nästan alla fungerade" .

Oidentifierbara inloggningsuppgifter

En stor andel av de dumpade filerna innehåller databaslösenord, API-nycklar och molnuppgifter utan någon företagsmejl, anpassad domän eller internt servernamn för att identifiera den ägande organisationen. De organisationerna kan inte veta att de är drabbade .

Exponering vs. bekräftad kompromettering

Siffran 2 500+ återspeglar rekonstruerad exponering, inte bekräftad kompromettering för varje organisation. CloudSEK understryker att varje listad organisation bör verifiera självständigt . Men datasetet är nu i händerna på flera hotintelligensföretag, och den naturliga cykeln för ett intrång innebär att bredare spridning förväntas.

Viktiga slutsatser för organisationer

Varje organisation som:

• Körde LiteLLM version 1.82.7 eller 1.82.8
• Hade CI/CD-pipelines som konsumerade dessa versioner
• Använde den komprometterade Trivy-skannern mellan 19 och 24 mars 2026

...bör behandla alla hemligheter som var tillgängliga för den miljön som komprometterade och rotera dem omedelbart, även om inget uppenbart intrång har upptäckts . FBIs FLASH-rådgivning förstärker detta: behandla exfiltrerade inloggningsuppgifter som en bestående risk eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

TeamPCP visade att en enda återkallad token, tre verktyg djupt kan förvandla en enda läcka av inloggningsuppgifter till exponering i hela ekosystemet. LiteLLM-attacken är en skarp påminnelse om att i moderna programvaruleveranskedjor kan verktyget du litar på för att hitta sårbarheter självt bli sårbarheten.