ระหว่างวันที่ 19 ถึง 27 มีนาคม 2026 นักแสดงภัยคุกคามที่รู้จักในชื่อ TeamPCP ได้ดำเนินการโจมตีที่นักวิจัยด้านความปลอดภัยเรียกว่า "หนึ่งในการโจมตีซัพพลายเชน CI/CD ที่ใหญ่ที่สุดเท่าที่เคยบันทึกไว้"
ห่วงโซ่การโจมตี: TeamPCP ประนีประนอมเครื่องมือนักพัฒนาได้อย่างไร
TeamPCP (ติดตามในชื่อ UNC6780 โดย Google Threat Intelligence Group หรือที่รู้จักในนามแฝง DeadCatx3, PCPcat และ ShellForce) เริ่มต้นด้วย GitHub Personal Access Token ตัวเดียวที่หมุนเวียนไม่สมบูรณ์
ลำดับการเก็บเกี่ยวข้อมูลประจำตัว
การแพร่กระจายข้ามระบบนิเวศ (6 วัน)
ภายในหกวัน การโจมตีแพร่กระจายไปทั่ว:
GitHub Actions — เวิร์กโฟลว์ CI/CD ที่ถูกวางยาพิษขโมยโทเค็นและคีย์เซ็นDocker Hub — อิมเมจคอนเทนเนอร์ที่เป็นอันตรายถูกผลักดันผ่านบัญชีที่ถูกประนีประนอมPyPI — แพ็กเกจ LiteLLM และ Telnyx ที่เป็นอันตรายNPM — แพ็กเกจที่ติดไวรัสOpenVSX (ตลาดส่วนขยาย VS Code) — ส่วนขยายที่ถูกวางยาพิษ
ต่อมามีการกำหนดลักษณะนี้ว่าเป็น "เวิร์มซัพพลายเชนที่แพร่กระจายตัวเอง" ตัวแรกที่สามารถข้ามพรมแดนระบบนิเวศได้โดยอัตโนมัติ
ขนาดของผลกระทบ
สภาพแวดล้อมคลาวด์ขององค์กรกว่า 1,000 แห่ง ถูกบุกรุก ตามรายงานของ Halcyon เกี่ยวกับระยะขู่กรรโชกของ Vect ข้อมูลประมาณ 340 GB (ที่ไม่มีการบีบอัด) ถูกขโมยจากไปป์ไลน์ Trivy/LiteLLM เพียงอย่างเดียว
มีการเก็บเกี่ยวข้อมูลประจำตัวประมาณ 500,000 รายการ ตลอดการรณรงค์
FBI FLASH Alert (2 กรกฎาคม 2026)
เมื่อวันที่ 2 กรกฎาคม 2026 กองกิจการไซเบอร์ของ FBI ได้ออกการแจ้งเตือนระดับวิกฤต (มีรายงานในสื่อภาษาสเปนเมื่อวันที่ 3 กรกฎาคม) ยืนยันว่า TeamPCP ได้แทรกซึมเข้าไปในสภาพแวดล้อมการพัฒนาและขโมย โทเค็นการเข้าถึงคลาวด์, คีย์ SSH และความลับของ Kubernetes ไป
คำแนะนำในการบรรเทาผลกระทบเฉพาะของ FBI
จากการรายงานข่าวการแจ้งเตือน FBI แนะนำให้องค์กร:
ตรวจสอบไปป์ไลน์ build/deployment สำหรับเครื่องมือเวอร์ชันที่ถูกประนีประนอมซึ่งใช้ระหว่างวันที่ 19-24 มีนาคม; สมมติว่าข้อมูลประจำตัวใด ๆ ที่สามารถเข้าถึงได้ในสภาพแวดล้อมเหล่านั้นถูกขโมยไปแล้ว หมุนเวียนข้อมูลประจำตัวทั้งหมด ที่อาจถูกเปิดเผย ปักหมุดเวิร์กโฟลว์ GitHub Actions ไปยัง Full Commit SHA (แฮชที่ตรวจสอบแล้ว) แทนที่จะเป็นแท็กหรือสาขา บังคับใช้สิทธิ์ CI/CD แบบสิทธิ์น้อยที่สุด — จำกัดว่าโทเค็นและความลับใดที่เวิร์กโฟลว์สามารถเข้าถึงได้ ใช้ MFA ที่ทนต่อการฟิชชิ่ง (เช่น FIDO2/WebAuthn) หมุนเวียนโทเค็นคลาวด์, คีย์ SSH และความลับ Kubernetes ทั้งหมด ทันที
การแจ้งเตือนยังระบุด้วยว่าข้อมูลและข้อมูลประจำตัวที่ถูกขโมยไปแล้วควรถือเป็นความเสี่ยงที่ยังคงอยู่
การเป็นพันธมิตรกับ Vect Ransomware
การเป็นพันธมิตรปฏิบัติการอย่างเป็นทางการ (ปลายเดือนมีนาคม 2026)
26–27 มีนาคม 2026 — TeamPCP จับมือเป็นพันธมิตรอย่างเป็นทางการกับปฏิบัติการ Vect Ransomware-as-a-Service (RaaS) ซึ่งปรากฏตัวครั้งแรกในเดือนธันวาคม 2025 การเป็นพันธมิตรได้รับการประกาศบนฟอรัมเว็บมืด "Breached"
Vect เริ่มใช้การเข้าถึงข้อมูลประจำตัวที่ถูกขโมยของ TeamPCP ทันทีสำหรับ แรนซัมแวร์ขู่กรรโชกสองชั้น (double-extortion) — เข้ารหัสเหยื่อและเผยแพร่ข้อมูลที่ถูกขโมย
ข้อมูลเหยื่อรายแรกที่มีชื่อจากการประนีประนอม Trivy ถูกเผยแพร่โดย Vect ในช่วงกลางเดือนเมษายน 2026
การเป็นพันธมิตรเพิ่มเติมของ Vect กับ BreachForums (16–18 เมษายน 2026)
ประมาณวันที่ 16–18 เมษายน 2026 Vect ได้จับมือเป็นพันธมิตรเพิ่มเติมกับ ตลาดอาชญากรรมไซเบอร์ BreachForums
ภายใต้ข้อตกลงนี้ ผู้ใช้ BreachForums ที่ลงทะเบียนทั้งหมด ~300,000 ราย ได้รับกุญแจ Affiliate ของ Vect ซึ่งเป็นการขยายฐานผู้ปฏิบัติการแรนซัมแวร์อย่างมหาศาล
Dataminr Intel Brief อธิบายการบรรจบกันนี้ว่าเป็นการ "ระดมพลพันธมิตรที่ไม่เคยเกิดขึ้นมาก่อน"
งานวิจัยของ Sophos (24 เมษายน 2026)
Sophos X-Ops เผยแพร่งานวิจัยเมื่อ วันที่ 24 เมษายน 2026 โดยบันทึกการประนีประนอม Checkmarx KICS และ Bitwarden CLI ซึ่งเป็นส่วนหนึ่งของการรณรงค์ของ TeamPCP
เครื่องมือทั้งสองถูกแฮ็กเมื่อ 22 เมษายน 2026 ภายในเวลาไม่กี่ชั่วโมงของกันและกัน
พวกเขาใช้โดเมน C2 เดียวกัน ซึ่งเชื่อมโยงพวกเขาไปยังนักแสดงภัยคุกคามรายเดียวกัน
การโจมตีใช้ประโยชน์จากเวิร์กโฟลว์การเผยแพร่ CI/CD ที่เชื่อถือได้เพื่อขโมยข้อมูลประจำตัวในวงกว้าง
ความเชื่อมโยงของ TeamPCP กับ The Com Collective
ผลการค้นหาไม่มีหลักฐานโดยตรงที่เชื่อมโยง TeamPCP กับกลุ่ม The Com TeamPCP มีความเกี่ยวข้องกับไปป์ไลน์ขายข้อมูลของ LAPSUS$ และดำเนินการแรนซัมแวร์ CipherForce ของตัวเอง แต่ไม่พบลิงก์เฉพาะของ Com ในแหล่งข้อมูลที่มีอยู่
ข้อสรุปสำหรับผู้ป้องกัน
การรณรงค์ของ TeamPCP เป็นจุดเปลี่ยนในความปลอดภัยของคลาวด์: ผู้โจมตีไม่ได้แค่เลี่ยงการป้องกันอีกต่อไป พวกเขากำลังเปลี่ยนอาวุธป้องกันให้เป็นอาวุธโจมตี ข้อคิดสำคัญสำหรับผู้ป้องกัน:
ปฏิบัติต่อไปป์ไลน์ CI/CD เป็นพื้นผิวการโจมตีที่วิกฤต — ตรวจสอบสิทธิ์เวิร์กโฟลว์ทั้งหมดและใช้การปักหมุด commit-SHAสมมติว่าข้อมูลประจำตัวถูกเปิดเผยหากเครื่องมือที่ถูกประนีประนอมทำงาน — หมุนเวียนความลับทั้งหมดทันทีลงทุนใน MFA ที่ทนต่อการฟิชชิ่ง — FIDO2/WebAuthn สามารถป้องกันการเข้าถึงติดตามผลได้แม้ว่าโทเค็นจะถูกขโมยตรวจสอบที่เก็บสำหรับการจัดเตรียมข้อมูล ที่ชื่อ tpcp-docs หรือ docs-tpcpเตรียมพร้อมสำหรับโมเดลการเป็นพันธมิตรปฏิบัติการ — นายหน้าขายการเข้าถึงเริ่มต้นกำลังจับมือกับพันธมิตรแรนซัมแวร์อย่างเป็นทางการแล้ว
คำแนะนำการป้องกันสำหรับทีมงาน
มาตรการระยะสั้น (ภายใน 24-48 ชั่วโมง)
หมุนเวียน Credential ทั้งหมดที่เกี่ยวข้อง : โทเค็น GitHub, คีย์ SSH, คลาวด์คีย์ (AWS, GCP, Azure), ความลับ Kubernetes และ Token Access ใดๆ ที่อยู่ใน CI/CD Pipeline ท ท ปักหมุด GitHub Actions ด้วย Commit SHA แบบเต็ม : แทนที่จะใช้แท็กเวอร์ชัน เช่น
uses: actions/checkout@v4
uses: actions/checkout@<commit-sha>ท ตรวจสอบหา Repository ที่น่าสงสัย : ค้นหา "tpcp-docs" และ "docs-tpcp" ในองค์กรของคุณ
มาตรการระยะยาว
ปรับใช้ Phishing-Resistant MFA : เช่น FIDO2 Security Keys หรือ WebAuthn จำกัดสิทธิ์ CI/CD แบบ Least-Privilege : กำหนดขอบเขตของ Token และ Secret ที่เวิร์กโฟลว์สามารถเข้าถึงได้อย่างเคร่งครัด อัปเดตและตรวจสอบแพ็กเกจใน Dependency : ลบแพ็กเกจเวอร์ชันที่ถูกบุกรุกทั้งหมด (เช่น Telnyx 4.87.1, 4.87.2) และตรวจสอบไฟล์ .pth ที่ผิดปกติ ท ท 