คำตอบการวิจัย
ประเด็นสำคัญ TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8] FBI Cyber Division ออก FLASH Alert วันที่ 2 ก.ค. 2026 เตือนภัยการขโมย Cloud Token, SSH Key และ Kubernetes Secrets แนะนำให้ปักหมุด GitHub Actions ด้วย commit SHA, บังคับ MFA และหมุนเวียน Credential ทันที [2][7] TeamPCP จับมือเป็นพันธมิตรกับแก๊งแรนซัมแวร์ Vect (RaaS) ปลายเดือนมี.ค. 2026 และต่อมา Vect ยังจับมือกับ BreachForums แจกกุญแจ Affiliate ให้สมาชิกกว่า 300,000 ราย [4][6][13] การโจมตีเริ่มจาก Trivy ของ Aqua Security (CVE 2026 33634, CVSS 9.4) ก่อนลามไปยัง LiteLLM, Telnyx, Checkmarx KICS และ Bitwarden CLI ภายในไม่กี่วัน [1][7][24][37] Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a The TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "TeamPCP โจมตีซัพพลายเชน CI/CD ครั้งใหญ่ที่สุดเป็นประวัติการณ์: เปิดไทม์ไลน์ การจับมือกับ Vect Ransomware และคำแนะนำจาก FBI ที่นักป้องกันต้องรู้" คืออะไร TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8] FBI Cyber Division ออก FLASH Alert วันที่ 2 ก.ค. 2026 เตือนภัยการขโมย Cloud Token, SSH Key และ Kubernetes Secrets แนะนำให้ปักหมุด GitHub Actions ด้วย commit SHA, บังคับ MFA และหมุนเวียน Credential ทันที [2][7]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? TeamPCP จับมือเป็นพันธมิตรกับแก๊งแรนซัมแวร์ Vect (RaaS) ปลายเดือนมี.ค. 2026 และต่อมา Vect ยังจับมือกับ BreachForums แจกกุญแจ Affiliate ให้สมาชิกกว่า 300,000 ราย [4][6][13]
คำตอบการวิจัย
ประเด็นสำคัญ TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8] FBI Cyber Division ออก FLASH Alert วันที่ 2 ก.ค. 2026 เตือนภัยการขโมย Cloud Token, SSH Key และ Kubernetes Secrets แนะนำให้ปักหมุด GitHub Actions ด้วย commit SHA, บังคับ MFA และหมุนเวียน Credential ทันที [2][7] TeamPCP จับมือเป็นพันธมิตรกับแก๊งแรนซัมแวร์ Vect (RaaS) ปลายเดือนมี.ค. 2026 และต่อมา Vect ยังจับมือกับ BreachForums แจกกุญแจ Affiliate ให้สมาชิกกว่า 300,000 ราย [4][6][13] การโจมตีเริ่มจาก Trivy ของ Aqua Security (CVE 2026 33634, CVSS 9.4) ก่อนลามไปยัง LiteLLM, Telnyx, Checkmarx KICS และ Bitwarden CLI ภายในไม่กี่วัน [1][7][24][37] Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a The TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "TeamPCP โจมตีซัพพลายเชน CI/CD ครั้งใหญ่ที่สุดเป็นประวัติการณ์: เปิดไทม์ไลน์ การจับมือกับ Vect Ransomware และคำแนะนำจาก FBI ที่นักป้องกันต้องรู้" คืออะไร TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? TeamPCP ก่อวินาศกรรมซัพพลายเชน CI/CD ครั้งใหญ่ ระหว่าง 19 27 มี.ค. 2026 เจาะ 5 ระบบนิเวศแพ็กเกจใน 6 วัน ขโมยข้อมูล 340 GB จากคลาวด์กว่า 1,000 องค์กร [1][7][8] FBI Cyber Division ออก FLASH Alert วันที่ 2 ก.ค. 2026 เตือนภัยการขโมย Cloud Token, SSH Key และ Kubernetes Secrets แนะนำให้ปักหมุด GitHub Actions ด้วย commit SHA, บังคับ MFA และหมุนเวียน Credential ทันที [2][7]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? TeamPCP จับมือเป็นพันธมิตรกับแก๊งแรนซัมแวร์ Vect (RaaS) ปลายเดือนมี.ค. 2026 และต่อมา Vect ยังจับมือกับ BreachForums แจกกุญแจ Affiliate ให้สมาชิกกว่า 300,000 ราย [4][6][13]
ห่วงโซ่การโจมตี: TeamPCP ประนีประนอมเครื่องมือนักพัฒนาได้อย่างไร TeamPCP (ติดตามในชื่อ UNC6780 โดย Google Threat Intelligence Group หรือที่รู้จักในนามแฝง DeadCatx3, PCPcat และ ShellForce) เริ่มต้นด้วย GitHub Personal Access Token ตัวเดียวที่หมุนเวียนไม่สมบูรณ์
ลำดับการเก็บเกี่ยวข้อมูลประจำตัว
การแพร่กระจายข้ามระบบนิเวศ (6 วัน) ภายในหกวัน การโจมตีแพร่กระจายไปทั่ว:
GitHub Actions — เวิร์กโฟลว์ CI/CD ที่ถูกวางยาพิษขโมยโทเค็นและคีย์เซ็นDocker Hub — อิมเมจคอนเทนเนอร์ที่เป็นอันตรายถูกผลักดันผ่านบัญชีที่ถูกประนีประนอมPyPI — แพ็กเกจ LiteLLM และ Telnyx ที่เป็นอันตรายNPM — แพ็กเกจที่ติดไวรัสOpenVSX (ตลาดส่วนขยาย VS Code) — ส่วนขยายที่ถูกวางยาพิษ ต่อมามีการกำหนดลักษณะนี้ว่าเป็น "เวิร์มซัพพลายเชนที่แพร่กระจายตัวเอง" ตัวแรกที่สามารถข้ามพรมแดนระบบนิเวศได้โดยอัตโนมัติ
ขนาดของผลกระทบ
สภาพแวดล้อมคลาวด์ขององค์กรกว่า 1,000 แห่ง ถูกบุกรุก ตามรายงานของ Halcyon เกี่ยวกับระยะขู่กรรโชกของ Vect ข้อมูลประมาณ 340 GB (ที่ไม่มีการบีบอัด) ถูกขโมยจากไปป์ไลน์ Trivy/LiteLLM เพียงอย่างเดียว
มีการเก็บเกี่ยวข้อมูลประจำตัวประมาณ 500,000 รายการ ตลอดการรณรงค์
FBI FLASH Alert (2 กรกฎาคม 2026)
คำแนะนำในการบรรเทาผลกระทบเฉพาะของ FBI จากการรายงานข่าวการแจ้งเตือน FBI แนะนำให้องค์กร:
ตรวจสอบไปป์ไลน์ build/deployment สำหรับเครื่องมือเวอร์ชันที่ถูกประนีประนอมซึ่งใช้ระหว่างวันที่ 19-24 มีนาคม; สมมติว่าข้อมูลประจำตัวใด ๆ ที่สามารถเข้าถึงได้ในสภาพแวดล้อมเหล่านั้นถูกขโมยไปแล้ว หมุนเวียนข้อมูลประจำตัวทั้งหมด ที่อาจถูกเปิดเผย ปักหมุดเวิร์กโฟลว์ GitHub Actions ไปยัง Full Commit SHA (แฮชที่ตรวจสอบแล้ว) แทนที่จะเป็นแท็กหรือสาขา บังคับใช้สิทธิ์ CI/CD แบบสิทธิ์น้อยที่สุด — จำกัดว่าโทเค็นและความลับใดที่เวิร์กโฟลว์สามารถเข้าถึงได้ ใช้ MFA ที่ทนต่อการฟิชชิ่ง (เช่น FIDO2/WebAuthn) หมุนเวียนโทเค็นคลาวด์, คีย์ SSH และความลับ Kubernetes ทั้งหมด ทันที ค้นหาที่เก็บที่น่าสงสัย ที่ชื่อ "tpcp-docs" หรือ "docs-tpcp" ซึ่งผู้โจมตีใช้สำหรับจัดเตรียมข้อมูล การแจ้งเตือนยังระบุด้วยว่าข้อมูลและข้อมูลประจำตัวที่ถูกขโมยไปแล้วควรถือเป็นความเสี่ยงที่ยังคงอยู่
การเป็นพันธมิตรกับ Vect Ransomware
การเป็นพันธมิตรปฏิบัติการอย่างเป็นทางการ (ปลายเดือนมีนาคม 2026)
26–27 มีนาคม 2026 — TeamPCP จับมือเป็นพันธมิตรอย่างเป็นทางการกับปฏิบัติการ Vect Ransomware-as-a-Service (RaaS) ซึ่งปรากฏตัวครั้งแรกในเดือนธันวาคม 2025 การเป็นพันธมิตรได้รับการประกาศบนฟอรัมเว็บมืด "Breached"
Vect เริ่มใช้การเข้าถึงข้อมูลประจำตัวที่ถูกขโมยของ TeamPCP ทันทีสำหรับ แรนซัมแวร์ขู่กรรโชกสองชั้น (double-extortion) — เข้ารหัสเหยื่อและเผยแพร่ข้อมูลที่ถูกขโมย
ข้อมูลเหยื่อรายแรกที่มีชื่อจากการประนีประนอม Trivy ถูกเผยแพร่โดย Vect ในช่วงกลางเดือนเมษายน 2026
การเป็นพันธมิตรเพิ่มเติมของ Vect กับ BreachForums (16–18 เมษายน 2026)
ประมาณวันที่ 16–18 เมษายน 2026 Vect ได้จับมือเป็นพันธมิตรเพิ่มเติมกับ ตลาดอาชญากรรมไซเบอร์ BreachForums
ภายใต้ข้อตกลงนี้ ผู้ใช้ BreachForums ที่ลงทะเบียนทั้งหมด ~300,000 ราย ได้รับกุญแจ Affiliate ของ Vect ซึ่งเป็นการขยายฐานผู้ปฏิบัติการแรนซัมแวร์อย่างมหาศาล
Dataminr Intel Brief อธิบายการบรรจบกันนี้ว่าเป็นการ "ระดมพลพันธมิตรที่ไม่เคยเกิดขึ้นมาก่อน"
งานวิจัยของ Sophos (24 เมษายน 2026) Sophos X-Ops เผยแพร่งานวิจัยเมื่อ วันที่ 24 เมษายน 2026 โดยบันทึกการประนีประนอม Checkmarx KICS และ Bitwarden CLI ซึ่งเป็นส่วนหนึ่งของการรณรงค์ของ TeamPCP
เครื่องมือทั้งสองถูกแฮ็กเมื่อ 22 เมษายน 2026 ภายในเวลาไม่กี่ชั่วโมงของกันและกัน
พวกเขาใช้โดเมน C2 เดียวกัน ซึ่งเชื่อมโยงพวกเขาไปยังนักแสดงภัยคุกคามรายเดียวกัน
การโจมตีใช้ประโยชน์จากเวิร์กโฟลว์การเผยแพร่ CI/CD ที่เชื่อถือได้เพื่อขโมยข้อมูลประจำตัวในวงกว้าง
ความเชื่อมโยงของ TeamPCP กับ The Com Collective ผลการค้นหาไม่มีหลักฐานโดยตรงที่เชื่อมโยง TeamPCP กับกลุ่ม The Com TeamPCP มีความเกี่ยวข้องกับไปป์ไลน์ขายข้อมูลของ LAPSUS$ และดำเนินการแรนซัมแวร์ CipherForce ของตัวเอง แต่ไม่พบลิงก์เฉพาะของ Com ในแหล่งข้อมูลที่มีอยู่
ข้อสรุปสำหรับผู้ป้องกัน การรณรงค์ของ TeamPCP เป็นจุดเปลี่ยนในความปลอดภัยของคลาวด์: ผู้โจมตีไม่ได้แค่เลี่ยงการป้องกันอีกต่อไป พวกเขากำลังเปลี่ยนอาวุธป้องกันให้เป็นอาวุธโจมตี ข้อคิดสำคัญสำหรับผู้ป้องกัน:
ปฏิบัติต่อไปป์ไลน์ CI/CD เป็นพื้นผิวการโจมตีที่วิกฤต — ตรวจสอบสิทธิ์เวิร์กโฟลว์ทั้งหมดและใช้การปักหมุด commit-SHAสมมติว่าข้อมูลประจำตัวถูกเปิดเผยหากเครื่องมือที่ถูกประนีประนอมทำงาน — หมุนเวียนความลับทั้งหมดทันทีลงทุนใน MFA ที่ทนต่อการฟิชชิ่ง — FIDO2/WebAuthn สามารถป้องกันการเข้าถึงติดตามผลได้แม้ว่าโทเค็นจะถูกขโมยตรวจสอบที่เก็บสำหรับการจัดเตรียมข้อมูล ที่ชื่อ tpcp-docs หรือ docs-tpcpเตรียมพร้อมสำหรับโมเดลการเป็นพันธมิตรปฏิบัติการ — นายหน้าขายการเข้าถึงเริ่มต้นกำลังจับมือกับพันธมิตรแรนซัมแวร์อย่างเป็นทางการแล้ว
คำแนะนำการป้องกันสำหรับทีมงาน
มาตรการระยะสั้น (ภายใน 24-48 ชั่วโมง)
หมุนเวียน Credential ทั้งหมดที่เกี่ยวข้อง : โทเค็น GitHub, คีย์ SSH, คลาวด์คีย์ (AWS, GCP, Azure), ความลับ Kubernetes และ Token Access ใดๆ ที่อยู่ใน CI/CD Pipeline ปักหมุด GitHub Actions ด้วย Commit SHA แบบเต็ม : แทนที่จะใช้แท็กเวอร์ชัน เช่น uses: actions/checkout@v4 ให้เปลี่ยนเป็น uses: actions/checkout@<commit-sha> เพื่อป้องกันการถูกเปลี่ยนเส้นทาง ตรวจสอบหา Repository ที่น่าสงสัย : ค้นหา "tpcp-docs" และ "docs-tpcp" ในองค์กรของคุณ
มาตรการระยะยาว
ปรับใช้ Phishing-Resistant MFA : เช่น FIDO2 Security Keys หรือ WebAuthn จำกัดสิทธิ์ CI/CD แบบ Least-Privilege : กำหนดขอบเขตของ Token และ Secret ที่เวิร์กโฟลว์สามารถเข้าถึงได้อย่างเคร่งครัด อัปเดตและตรวจสอบแพ็กเกจใน Dependency : ลบแพ็กเกจเวอร์ชันที่ถูกบุกรุกทั้งหมด (เช่น Telnyx 4.87.1, 4.87.2) และตรวจสอบไฟล์ .pth ที่ผิดปกติ isc.sans.edu
TeamPCP Supply Chain Campaign: Update 003
ห่วงโซ่การโจมตี: TeamPCP ประนีประนอมเครื่องมือนักพัฒนาได้อย่างไร TeamPCP (ติดตามในชื่อ UNC6780 โดย Google Threat Intelligence Group หรือที่รู้จักในนามแฝง DeadCatx3, PCPcat และ ShellForce) เริ่มต้นด้วย GitHub Personal Access Token ตัวเดียวที่หมุนเวียนไม่สมบูรณ์
ลำดับการเก็บเกี่ยวข้อมูลประจำตัว
การแพร่กระจายข้ามระบบนิเวศ (6 วัน) ภายในหกวัน การโจมตีแพร่กระจายไปทั่ว:
GitHub Actions — เวิร์กโฟลว์ CI/CD ที่ถูกวางยาพิษขโมยโทเค็นและคีย์เซ็นDocker Hub — อิมเมจคอนเทนเนอร์ที่เป็นอันตรายถูกผลักดันผ่านบัญชีที่ถูกประนีประนอมPyPI — แพ็กเกจ LiteLLM และ Telnyx ที่เป็นอันตรายNPM — แพ็กเกจที่ติดไวรัสOpenVSX (ตลาดส่วนขยาย VS Code) — ส่วนขยายที่ถูกวางยาพิษ ต่อมามีการกำหนดลักษณะนี้ว่าเป็น "เวิร์มซัพพลายเชนที่แพร่กระจายตัวเอง" ตัวแรกที่สามารถข้ามพรมแดนระบบนิเวศได้โดยอัตโนมัติ
ขนาดของผลกระทบ
สภาพแวดล้อมคลาวด์ขององค์กรกว่า 1,000 แห่ง ถูกบุกรุก ตามรายงานของ Halcyon เกี่ยวกับระยะขู่กรรโชกของ Vect ข้อมูลประมาณ 340 GB (ที่ไม่มีการบีบอัด) ถูกขโมยจากไปป์ไลน์ Trivy/LiteLLM เพียงอย่างเดียว
มีการเก็บเกี่ยวข้อมูลประจำตัวประมาณ 500,000 รายการ ตลอดการรณรงค์
FBI FLASH Alert (2 กรกฎาคม 2026)
คำแนะนำในการบรรเทาผลกระทบเฉพาะของ FBI จากการรายงานข่าวการแจ้งเตือน FBI แนะนำให้องค์กร:
ตรวจสอบไปป์ไลน์ build/deployment สำหรับเครื่องมือเวอร์ชันที่ถูกประนีประนอมซึ่งใช้ระหว่างวันที่ 19-24 มีนาคม; สมมติว่าข้อมูลประจำตัวใด ๆ ที่สามารถเข้าถึงได้ในสภาพแวดล้อมเหล่านั้นถูกขโมยไปแล้ว หมุนเวียนข้อมูลประจำตัวทั้งหมด ที่อาจถูกเปิดเผย ปักหมุดเวิร์กโฟลว์ GitHub Actions ไปยัง Full Commit SHA (แฮชที่ตรวจสอบแล้ว) แทนที่จะเป็นแท็กหรือสาขา บังคับใช้สิทธิ์ CI/CD แบบสิทธิ์น้อยที่สุด — จำกัดว่าโทเค็นและความลับใดที่เวิร์กโฟลว์สามารถเข้าถึงได้ ใช้ MFA ที่ทนต่อการฟิชชิ่ง (เช่น FIDO2/WebAuthn) หมุนเวียนโทเค็นคลาวด์, คีย์ SSH และความลับ Kubernetes ทั้งหมด ทันที ค้นหาที่เก็บที่น่าสงสัย ที่ชื่อ "tpcp-docs" หรือ "docs-tpcp" ซึ่งผู้โจมตีใช้สำหรับจัดเตรียมข้อมูล การแจ้งเตือนยังระบุด้วยว่าข้อมูลและข้อมูลประจำตัวที่ถูกขโมยไปแล้วควรถือเป็นความเสี่ยงที่ยังคงอยู่
การเป็นพันธมิตรกับ Vect Ransomware
การเป็นพันธมิตรปฏิบัติการอย่างเป็นทางการ (ปลายเดือนมีนาคม 2026)
26–27 มีนาคม 2026 — TeamPCP จับมือเป็นพันธมิตรอย่างเป็นทางการกับปฏิบัติการ Vect Ransomware-as-a-Service (RaaS) ซึ่งปรากฏตัวครั้งแรกในเดือนธันวาคม 2025 การเป็นพันธมิตรได้รับการประกาศบนฟอรัมเว็บมืด "Breached"
Vect เริ่มใช้การเข้าถึงข้อมูลประจำตัวที่ถูกขโมยของ TeamPCP ทันทีสำหรับ แรนซัมแวร์ขู่กรรโชกสองชั้น (double-extortion) — เข้ารหัสเหยื่อและเผยแพร่ข้อมูลที่ถูกขโมย
ข้อมูลเหยื่อรายแรกที่มีชื่อจากการประนีประนอม Trivy ถูกเผยแพร่โดย Vect ในช่วงกลางเดือนเมษายน 2026
การเป็นพันธมิตรเพิ่มเติมของ Vect กับ BreachForums (16–18 เมษายน 2026)
ประมาณวันที่ 16–18 เมษายน 2026 Vect ได้จับมือเป็นพันธมิตรเพิ่มเติมกับ ตลาดอาชญากรรมไซเบอร์ BreachForums
ภายใต้ข้อตกลงนี้ ผู้ใช้ BreachForums ที่ลงทะเบียนทั้งหมด ~300,000 ราย ได้รับกุญแจ Affiliate ของ Vect ซึ่งเป็นการขยายฐานผู้ปฏิบัติการแรนซัมแวร์อย่างมหาศาล
Dataminr Intel Brief อธิบายการบรรจบกันนี้ว่าเป็นการ "ระดมพลพันธมิตรที่ไม่เคยเกิดขึ้นมาก่อน"
งานวิจัยของ Sophos (24 เมษายน 2026) Sophos X-Ops เผยแพร่งานวิจัยเมื่อ วันที่ 24 เมษายน 2026 โดยบันทึกการประนีประนอม Checkmarx KICS และ Bitwarden CLI ซึ่งเป็นส่วนหนึ่งของการรณรงค์ของ TeamPCP
เครื่องมือทั้งสองถูกแฮ็กเมื่อ 22 เมษายน 2026 ภายในเวลาไม่กี่ชั่วโมงของกันและกัน
พวกเขาใช้โดเมน C2 เดียวกัน ซึ่งเชื่อมโยงพวกเขาไปยังนักแสดงภัยคุกคามรายเดียวกัน
การโจมตีใช้ประโยชน์จากเวิร์กโฟลว์การเผยแพร่ CI/CD ที่เชื่อถือได้เพื่อขโมยข้อมูลประจำตัวในวงกว้าง
ความเชื่อมโยงของ TeamPCP กับ The Com Collective ผลการค้นหาไม่มีหลักฐานโดยตรงที่เชื่อมโยง TeamPCP กับกลุ่ม The Com TeamPCP มีความเกี่ยวข้องกับไปป์ไลน์ขายข้อมูลของ LAPSUS$ และดำเนินการแรนซัมแวร์ CipherForce ของตัวเอง แต่ไม่พบลิงก์เฉพาะของ Com ในแหล่งข้อมูลที่มีอยู่
ข้อสรุปสำหรับผู้ป้องกัน การรณรงค์ของ TeamPCP เป็นจุดเปลี่ยนในความปลอดภัยของคลาวด์: ผู้โจมตีไม่ได้แค่เลี่ยงการป้องกันอีกต่อไป พวกเขากำลังเปลี่ยนอาวุธป้องกันให้เป็นอาวุธโจมตี ข้อคิดสำคัญสำหรับผู้ป้องกัน:
ปฏิบัติต่อไปป์ไลน์ CI/CD เป็นพื้นผิวการโจมตีที่วิกฤต — ตรวจสอบสิทธิ์เวิร์กโฟลว์ทั้งหมดและใช้การปักหมุด commit-SHAสมมติว่าข้อมูลประจำตัวถูกเปิดเผยหากเครื่องมือที่ถูกประนีประนอมทำงาน — หมุนเวียนความลับทั้งหมดทันทีลงทุนใน MFA ที่ทนต่อการฟิชชิ่ง — FIDO2/WebAuthn สามารถป้องกันการเข้าถึงติดตามผลได้แม้ว่าโทเค็นจะถูกขโมยตรวจสอบที่เก็บสำหรับการจัดเตรียมข้อมูล ที่ชื่อ tpcp-docs หรือ docs-tpcpเตรียมพร้อมสำหรับโมเดลการเป็นพันธมิตรปฏิบัติการ — นายหน้าขายการเข้าถึงเริ่มต้นกำลังจับมือกับพันธมิตรแรนซัมแวร์อย่างเป็นทางการแล้ว
คำแนะนำการป้องกันสำหรับทีมงาน
มาตรการระยะสั้น (ภายใน 24-48 ชั่วโมง)
หมุนเวียน Credential ทั้งหมดที่เกี่ยวข้อง : โทเค็น GitHub, คีย์ SSH, คลาวด์คีย์ (AWS, GCP, Azure), ความลับ Kubernetes และ Token Access ใดๆ ที่อยู่ใน CI/CD Pipeline ปักหมุด GitHub Actions ด้วย Commit SHA แบบเต็ม : แทนที่จะใช้แท็กเวอร์ชัน เช่น uses: actions/checkout@v4 ให้เปลี่ยนเป็น uses: actions/checkout@<commit-sha> เพื่อป้องกันการถูกเปลี่ยนเส้นทาง ตรวจสอบหา Repository ที่น่าสงสัย : ค้นหา "tpcp-docs" และ "docs-tpcp" ในองค์กรของคุณ
มาตรการระยะยาว
ปรับใช้ Phishing-Resistant MFA : เช่น FIDO2 Security Keys หรือ WebAuthn จำกัดสิทธิ์ CI/CD แบบ Least-Privilege : กำหนดขอบเขตของ Token และ Secret ที่เวิร์กโฟลว์สามารถเข้าถึงได้อย่างเคร่งครัด อัปเดตและตรวจสอบแพ็กเกจใน Dependency : ลบแพ็กเกจเวอร์ชันที่ถูกบุกรุกทั้งหมด (เช่น Telnyx 4.87.1, 4.87.2) และตรวจสอบไฟล์ .pth ที่ผิดปกติ isc.sans.edu
TeamPCP Supply Chain Campaign: Update 003
