TeamPCP Tedarik Zinciri Saldırısının İç Yüzü: FBI Uyarısı, Vect Fidye Yazılımı ve Savunmacıların Atması Gereken Adımlar
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı. FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı.
FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını istedi.
Saldırgan grup, Vect fidye yazılımı çetesiyle resmi ortaklık kurarak çalıntı erişimleri çifte gasp amaçlı kullanmaya başladı.
Güvenlik uzmanları, CI/CD hatlarının commit SHA sabitleme, en az ayrıcalık ilkesi ve kimlik avına dayanıklı çok faktörlü kimlik doğrulama ile korunmasını öneriyor.
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
19-27 Mart 2026 tarihleri arasında TeamPCP olarak bilinen tehdit aktörü, güvenlik araştırmacıları tarafından "kayıtlara geçmiş en büyük CI/CD tedarik zinciri saldırılarından biri" olarak tanımlanan operasyonu gerçekleştirdi . Grup, art arda ele geçirdiği araçlardan çaldığı kimlik bilgilerini kullanarak beş farklı yazılım paketi ekosisteminde ilerledi, 1.000'den fazla kurumsal bulut ortamını ele geçirdi ve çalıntı erişimleri gasp amacıyla kullanmak üzere Vect fidye yazılımı operasyonuyla resmi ortaklık kurdu . 2 Temmuz 2026'da FBI'ın Siber Suçlar Birimi, kampanyanın detaylarını ve spesifik korunma önerilerini içeren kritik bir FLASH uyarısı yayınladı . Bu makale, FBI uyarısı, Sophos araştırması ve saldırı zincirinin tamamı dahil olmak üzere mevcut tüm istihbarat kaynaklarındaki kilit bulguları bir araya getiriyor.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "TeamPCP Tedarik Zinciri Saldırısının İç Yüzü: FBI Uyarısı, Vect Fidye Yazılımı ve Savunmacıların Atması Gereken Adımlar"?
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı.
What are the key points to validate first?
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı. FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını istedi.
What should I do next in practice?
Saldırgan grup, Vect fidye yazılımı çetesiyle resmi ortaklık kurarak çalıntı erişimleri çifte gasp amaçlı kullanmaya başladı.
TeamPCP Tedarik Zinciri Saldırısının İç Yüzü: FBI Uyarısı, Vect Fidye Yazılımı ve Savunmacıların Atması Gereken Adımlar
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı. FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını...
YayımlayanDeepSeek-V4-Flash ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı.
FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını istedi.
Saldırgan grup, Vect fidye yazılımı çetesiyle resmi ortaklık kurarak çalıntı erişimleri çifte gasp amaçlı kullanmaya başladı.
Güvenlik uzmanları, CI/CD hatlarının commit SHA sabitleme, en az ayrıcalık ilkesi ve kimlik avına dayanıklı çok faktörlü kimlik doğrulama ile korunmasını öneriyor.
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
19-27 Mart 2026 tarihleri arasında TeamPCP olarak bilinen tehdit aktörü, güvenlik araştırmacıları tarafından "kayıtlara geçmiş en büyük CI/CD tedarik zinciri saldırılarından biri" olarak tanımlanan operasyonu gerçekleştirdi . Grup, art arda ele geçirdiği araçlardan çaldığı kimlik bilgilerini kullanarak beş farklı yazılım paketi ekosisteminde ilerledi, 1.000'den fazla kurumsal bulut ortamını ele geçirdi ve çalıntı erişimleri gasp amacıyla kullanmak üzere Vect fidye yazılımı operasyonuyla resmi ortaklık kurdu . 2 Temmuz 2026'da FBI'ın Siber Suçlar Birimi, kampanyanın detaylarını ve spesifik korunma önerilerini içeren kritik bir FLASH uyarısı yayınladı . Bu makale, FBI uyarısı, Sophos araştırması ve saldırı zincirinin tamamı dahil olmak üzere mevcut tüm istihbarat kaynaklarındaki kilit bulguları bir araya getiriyor.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "TeamPCP Tedarik Zinciri Saldırısının İç Yüzü: FBI Uyarısı, Vect Fidye Yazılımı ve Savunmacıların Atması Gereken Adımlar"?
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı.
What are the key points to validate first?
TeamPCP, 19 27 Mart 2026 tarihleri arasında beş farklı yazılım ekosistemini hedef alarak 1.000'den fazla kurumsal bulut ortamına sızdı ve yaklaşık 340 GB veri çaldı. FBI'ın 2 Temmuz 2026'da yayınladığı FLASH uyarısı, çalınan bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarına karşı acil önlem alınmasını istedi.
What should I do next in practice?
Saldırgan grup, Vect fidye yazılımı çetesiyle resmi ortaklık kurarak çalıntı erişimleri çifte gasp amaçlı kullanmaya başladı.
Saldırı Zinciri: TeamPCP Geliştirici Araçlarını Nasıl Ele Geçirdi?
TeamPCP (Google Tehdit İstihbarat Grubu tarafından UNC6780 olarak takip edilen ve DeadCatx3, PCPcat, ShellForce takma adlarını da kullanan), tam olarak döndürülmemiş tek bir GitHub kişisel erişim token'ı ile başladı .
Kimlik Bilgisi Toplama Sırası
19 Mart — Aqua Security'nin Trivy'si: İlk ihlal. TeamPCP, Trivy'nin GitHub Actions ve Docker Hub imzalama anahtarlarına erişti, ardından 76 trivy-action sürüm etiketinden 75'ine kötü amaçlı kod gönderdi ve zehirli ikili dosyaları GitHub Releases ve Docker Hub'a yükledi . Bu olaya CVSS puanı 9,4 olan CVE-2026-33634 atandı .
20 Mart — BerriAI'nin LiteLLM'si: Trivy hattından çalınan kimlik bilgilerini kullanan TeamPCP, 100'den fazla LLM API'sine erişmek için kullanılan bir yapay zeka ağ geçidi aracı olan LiteLLM'nin kötü amaçlı sürümlerini PyPI ve NPM'ye yükledi .
27 Mart — Telnyx PyPI: TeamPCP, Telnyx Python SDK'sının kötü amaçlı sürümlerini (4.87.1 ve 4.87.2) yayınladı .
22 Nisan — Checkmarx KICS ve Bitwarden CLI: Daha sonraki dalgalar, aynı C2 altyapısını kullanarak saatler içinde Checkmarx'in KICS güvenlik tarayıcısını ve Bitwarden'in CLI'sini hedef aldı . TrendMicro, bunların daha geniş TeamPCP kampanyasının bir parçası olduğunu doğruladı .
Ekosistem Çığ Etkisi (6 Gün)
Altı gün içinde saldırı şu alanlara yayıldı:
GitHub Actions — zehirli CI/CD iş akışları token'ları ve imzalama anahtarlarını çaldı
Docker Hub — ele geçirilen hesaplar üzerinden kötü amaçlı konteyner görüntüleri gönderildi
Bu, daha sonra ekosistem sınırlarını otonom olarak aşan ilk belgelenmiş kendi kendine yayılan tedarik zinciri solucanı olarak nitelendirildi .
Etkinin Boyutu
1.000'den fazla kurumsal bulut ortamı ele geçirildi (Halcyon'un Vect gaspla ilgili raporuna göre) . Mandiant, bu sayının 5.000-10.000'e çıkabileceğini tahmin ediyor .
Yalnızca Trivy/LiteLLM hattından yaklaşık 340 GB sıkıştırılmamış veri çalındı .
Kampanya genelinde yaklaşık 500.000 kimlik bilgisi toplandı .
FBI FLASH Uyarısı (2 Temmuz 2026)
2 Temmuz 2026'da FBI'ın Siber Suçlar Birimi, TeamPCP'nin geliştirme ortamlarına sızdığını ve bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarını dışarı sızdırdığını doğrulayan kritik bir uyarı yayınladı (3 Temmuz'da İspanyol medyasında da yer aldı) .
FBI'ın Spesifik Korunma Önerileri
FBI, kuruluşlara şunları tavsiye etti:
Derleme/dağıtım hatlarını denetleyin — 19-24 Mart arasında kullanılan tehlikeli araç sürümlerini tespit edin; bu ortamlarda erişilebilen tüm kimlik bilgilerinin çalındığını varsayın
Açığa çıkmış olabilecek tüm kimlik bilgilerini döndürün
GitHub Actions iş akışlarını tam commit SHA'lerine (doğrulanmış hash'ler) sabitleyin, etiketler veya dallar yerine
En az ayrıcalıklı CI/CD izinleri uygulayın — iş akışlarının hangi token'lara ve sırlara erişebileceğini kısıtlayın
Tüm bulut token'larını, SSH anahtarlarını ve Kubernetes sırlarını derhal döndürün
Saldırganların hazırlık için kullandığı "tpcp-docs" veya "docs-tpcp" adlı şüpheli depoları arayın
Uyarı ayrıca, halihazırda sızdırılmış veri ve kimlik bilgilerinin kalıcı bir risk olarak değerlendirilmesi gerektiğini de belirtti .
Vect Fidye Yazılımı ile Ortaklık
Resmi Operasyonel Ortaklık (Mart 2026 Sonu)
26-27 Mart 2026 — TeamPCP, ilk olarak Aralık 2025'te ortaya çıkan Vect fidye yazılımı-hizmet-olarak (RaaS) operasyonuyla resmi olarak ortaklık kurdu .
Ortaklık, karanlık ağ forumu "Breached" üzerinde duyuruldu .
Vect, TeamPCP'nin çalıntı kimlik bilgisi erişimini derhal çifte gasp fidye yazılımı için kullanmaya başladı — kurbanları şifreleyerek ve çalınan verileri yayınlayarak .
Trivy ihlalinden elde edilen ilk isimli kurban verisi, Nisan 2026 ortasında Vect tarafından yayınlandı .
Vect'in BreachForums ile Ek Ortaklığı (16-18 Nisan 2026)
Yaklaşık 16-18 Nisan 2026'da Vect, BreachForums siber suç pazar yeri ile de ortaklık kurdu .
Bu anlaşma kapsamında, kayıtlı yaklaşık 300.000 BreachForums kullanıcısının tamamına Vect üye anahtarlarına erişim hakkı verildi ve fidye yazılımı operatör tabanı büyük ölçüde genişletildi .
Dataminr Intel Brief, bu birleşmeyi "benzeri görülmemiş bir üye seferberliği" olarak tanımladı .
Sophos Araştırması (24 Nisan 2026)
Sophos X-Ops, 24 Nisan 2026'da TeamPCP kampanyasının bir parçası olarak Checkmarx KICS ve Bitwarden CLI ihlallerini belgeleyen bir araştırma yayınladı . Kilit bulgular:
Her iki araç da 22 Nisan 2026'da saatler arayla ele geçirildi
Aynı C2 alan adını paylaşıyorlardı, bu da onları aynı tehdit aktörüne bağlıyor
Saldırılar, ölçekte kimlik bilgileri çalmak için güvenilir CI/CD yayın iş akışlarını kötüye kullandı
TeamPCP'nin Com Kolektifi ile Bağlantıları
Arama sonuçları, TeamPCP'yi The Com kolektifine bağlayan doğrudan bir kanıt bulamadı. TeamPCP'nin LAPSUS$ veri satış hattıyla ilişkilendirildiği ve kendi CipherForce fidye yazılımı kolunu işlettiği biliniyor, ancak mevcut kaynaklarda Com'a özgü bağlantılara rastlanmadı .
Savunmacılar İçin Çıkarımlar
TeamPCP kampanyası, bulut güvenliğinde bir dönüm noktasıdır: saldırganlar artık savunmaları atlatmıyor, onları silah haline getiriyor. Savunmacılar için kilit çıkarımlar:
CI/CD hatlarını kritik saldırı yüzeyleri olarak ele alın — tüm iş akışı izinlerini denetleyin ve commit-SHA sabitlemesini benimseyin
Tehlikeli bir araç çalıştırıldıysa kimlik bilgilerinin açığa çıktığını varsayın — tüm sırları derhal döndürün
Kimlik avına dayanıklı MFA'ya yatırım yapın — FIDO2/WebAuthn, token'lar çalınsa bile takip erişimini engelleyebilir
tpcp-docs veya docs-tpcp adlı hazırlık depolarını izleyin
Operasyonel ortaklık modeline hazırlanın — ilk erişim aracıları artık resmi olarak fidye yazılımı ortaklarıyla takım kuruyor
Saldırı Zinciri: TeamPCP Geliştirici Araçlarını Nasıl Ele Geçirdi?
TeamPCP (Google Tehdit İstihbarat Grubu tarafından UNC6780 olarak takip edilen ve DeadCatx3, PCPcat, ShellForce takma adlarını da kullanan), tam olarak döndürülmemiş tek bir GitHub kişisel erişim token'ı ile başladı .
Kimlik Bilgisi Toplama Sırası
19 Mart — Aqua Security'nin Trivy'si: İlk ihlal. TeamPCP, Trivy'nin GitHub Actions ve Docker Hub imzalama anahtarlarına erişti, ardından 76 trivy-action sürüm etiketinden 75'ine kötü amaçlı kod gönderdi ve zehirli ikili dosyaları GitHub Releases ve Docker Hub'a yükledi . Bu olaya CVSS puanı 9,4 olan CVE-2026-33634 atandı .
20 Mart — BerriAI'nin LiteLLM'si: Trivy hattından çalınan kimlik bilgilerini kullanan TeamPCP, 100'den fazla LLM API'sine erişmek için kullanılan bir yapay zeka ağ geçidi aracı olan LiteLLM'nin kötü amaçlı sürümlerini PyPI ve NPM'ye yükledi .
27 Mart — Telnyx PyPI: TeamPCP, Telnyx Python SDK'sının kötü amaçlı sürümlerini (4.87.1 ve 4.87.2) yayınladı .
22 Nisan — Checkmarx KICS ve Bitwarden CLI: Daha sonraki dalgalar, aynı C2 altyapısını kullanarak saatler içinde Checkmarx'in KICS güvenlik tarayıcısını ve Bitwarden'in CLI'sini hedef aldı . TrendMicro, bunların daha geniş TeamPCP kampanyasının bir parçası olduğunu doğruladı .
Ekosistem Çığ Etkisi (6 Gün)
Altı gün içinde saldırı şu alanlara yayıldı:
GitHub Actions — zehirli CI/CD iş akışları token'ları ve imzalama anahtarlarını çaldı
Docker Hub — ele geçirilen hesaplar üzerinden kötü amaçlı konteyner görüntüleri gönderildi
Bu, daha sonra ekosistem sınırlarını otonom olarak aşan ilk belgelenmiş kendi kendine yayılan tedarik zinciri solucanı olarak nitelendirildi .
Etkinin Boyutu
1.000'den fazla kurumsal bulut ortamı ele geçirildi (Halcyon'un Vect gaspla ilgili raporuna göre) . Mandiant, bu sayının 5.000-10.000'e çıkabileceğini tahmin ediyor .
Yalnızca Trivy/LiteLLM hattından yaklaşık 340 GB sıkıştırılmamış veri çalındı .
Kampanya genelinde yaklaşık 500.000 kimlik bilgisi toplandı .
FBI FLASH Uyarısı (2 Temmuz 2026)
2 Temmuz 2026'da FBI'ın Siber Suçlar Birimi, TeamPCP'nin geliştirme ortamlarına sızdığını ve bulut erişim token'ları, SSH anahtarları ve Kubernetes sırlarını dışarı sızdırdığını doğrulayan kritik bir uyarı yayınladı (3 Temmuz'da İspanyol medyasında da yer aldı) .
FBI'ın Spesifik Korunma Önerileri
FBI, kuruluşlara şunları tavsiye etti:
Derleme/dağıtım hatlarını denetleyin — 19-24 Mart arasında kullanılan tehlikeli araç sürümlerini tespit edin; bu ortamlarda erişilebilen tüm kimlik bilgilerinin çalındığını varsayın
Açığa çıkmış olabilecek tüm kimlik bilgilerini döndürün
GitHub Actions iş akışlarını tam commit SHA'lerine (doğrulanmış hash'ler) sabitleyin, etiketler veya dallar yerine
En az ayrıcalıklı CI/CD izinleri uygulayın — iş akışlarının hangi token'lara ve sırlara erişebileceğini kısıtlayın
Tüm bulut token'larını, SSH anahtarlarını ve Kubernetes sırlarını derhal döndürün
Saldırganların hazırlık için kullandığı "tpcp-docs" veya "docs-tpcp" adlı şüpheli depoları arayın
Uyarı ayrıca, halihazırda sızdırılmış veri ve kimlik bilgilerinin kalıcı bir risk olarak değerlendirilmesi gerektiğini de belirtti .
Vect Fidye Yazılımı ile Ortaklık
Resmi Operasyonel Ortaklık (Mart 2026 Sonu)
26-27 Mart 2026 — TeamPCP, ilk olarak Aralık 2025'te ortaya çıkan Vect fidye yazılımı-hizmet-olarak (RaaS) operasyonuyla resmi olarak ortaklık kurdu .
Ortaklık, karanlık ağ forumu "Breached" üzerinde duyuruldu .
Vect, TeamPCP'nin çalıntı kimlik bilgisi erişimini derhal çifte gasp fidye yazılımı için kullanmaya başladı — kurbanları şifreleyerek ve çalınan verileri yayınlayarak .
Trivy ihlalinden elde edilen ilk isimli kurban verisi, Nisan 2026 ortasında Vect tarafından yayınlandı .
Vect'in BreachForums ile Ek Ortaklığı (16-18 Nisan 2026)
Yaklaşık 16-18 Nisan 2026'da Vect, BreachForums siber suç pazar yeri ile de ortaklık kurdu .
Bu anlaşma kapsamında, kayıtlı yaklaşık 300.000 BreachForums kullanıcısının tamamına Vect üye anahtarlarına erişim hakkı verildi ve fidye yazılımı operatör tabanı büyük ölçüde genişletildi .
Dataminr Intel Brief, bu birleşmeyi "benzeri görülmemiş bir üye seferberliği" olarak tanımladı .
Sophos Araştırması (24 Nisan 2026)
Sophos X-Ops, 24 Nisan 2026'da TeamPCP kampanyasının bir parçası olarak Checkmarx KICS ve Bitwarden CLI ihlallerini belgeleyen bir araştırma yayınladı . Kilit bulgular:
Her iki araç da 22 Nisan 2026'da saatler arayla ele geçirildi
Aynı C2 alan adını paylaşıyorlardı, bu da onları aynı tehdit aktörüne bağlıyor
Saldırılar, ölçekte kimlik bilgileri çalmak için güvenilir CI/CD yayın iş akışlarını kötüye kullandı
TeamPCP'nin Com Kolektifi ile Bağlantıları
Arama sonuçları, TeamPCP'yi The Com kolektifine bağlayan doğrudan bir kanıt bulamadı. TeamPCP'nin LAPSUS$ veri satış hattıyla ilişkilendirildiği ve kendi CipherForce fidye yazılımı kolunu işlettiği biliniyor, ancak mevcut kaynaklarda Com'a özgü bağlantılara rastlanmadı .
Savunmacılar İçin Çıkarımlar
TeamPCP kampanyası, bulut güvenliğinde bir dönüm noktasıdır: saldırganlar artık savunmaları atlatmıyor, onları silah haline getiriyor. Savunmacılar için kilit çıkarımlar:
CI/CD hatlarını kritik saldırı yüzeyleri olarak ele alın — tüm iş akışı izinlerini denetleyin ve commit-SHA sabitlemesini benimseyin
Tehlikeli bir araç çalıştırıldıysa kimlik bilgilerinin açığa çıktığını varsayın — tüm sırları derhal döndürün
Kimlik avına dayanıklı MFA'ya yatırım yapın — FIDO2/WebAuthn, token'lar çalınsa bile takip erişimini engelleyebilir
tpcp-docs veya docs-tpcp adlı hazırlık depolarını izleyin
Operasyonel ortaklık modeline hazırlanın — ilk erişim aracıları artık resmi olarak fidye yazılımı ortaklarıyla takım kuruyor
