Атака TeamPCP на ланцюг постачання: що відомо та як захиститися
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під... 2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів дос...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під...
2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів доступу до хмар, ключів SSH та секретів Kubernetes, а також надавши конкретні рекомендації щодо пом'якшення наслідків.
TeamPCP офіційно об'єднався з програмою вимагачем Vect (RaaS) для подвійного вимагання, а Vect додатково залучив до співпраці майданчик BreachForums, роздавши ключі афіліатів 300 000 користувачам.
Атака почалася зі сканера вразливостей Trivy (CVE 2026 33634, CVSS 9.4) і за шість днів поширилася на GitHub Actions, Docker Hub, PyPI, NPM та OpenVSX, ставши першим задокументованим саморозповсюджуваним хробаком у ла...
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Між 19 і 27 березня 2026 року загрозливий актор, відомий як TeamPCP, здійснив те, що дослідники безпеки назвали «однією з найбільших атак на ланцюг постачання CI/CD в історії» . Використовуючи викрадені облікові дані з послідовних компрометацій інструментів, група переміщувалася через п'ять екосистем пакунків, скомпрометувавши понад 1000 хмарних середовищ підприємств, та офіційно об'єдналася з операцією програми-вимагача Vect, щоб перетворити викрадений доступ на вимагання . 2 липня 2026 року Кібернетичний відділ ФБР випустив критичне попередження FLASH із детальним описом кампанії та конкретними рекомендаціями щодо захисту . У цій статті зібрано всі ключові висновки з наявних джерел розвідки, включаючи попередження ФБР, дослідження Sophos та повний ланцюг атаки.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Атака TeamPCP на ланцюг постачання: що відомо та як захиститися"?
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під...
What are the key points to validate first?
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під... 2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів доступу до хмар, ключів SSH та секретів Kubernetes, а також надавши конкретні рекомендації щодо пом'якшення наслідків.
What should I do next in practice?
TeamPCP офіційно об'єднався з програмою вимагачем Vect (RaaS) для подвійного вимагання, а Vect додатково залучив до співпраці майданчик BreachForums, роздавши ключі афіліатів 300 000 користувачам.
Атака TeamPCP на ланцюг постачання: що відомо та як захиститися
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під... 2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів дос...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під...
2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів доступу до хмар, ключів SSH та секретів Kubernetes, а також надавши конкретні рекомендації щодо пом'якшення наслідків.
TeamPCP офіційно об'єднався з програмою вимагачем Vect (RaaS) для подвійного вимагання, а Vect додатково залучив до співпраці майданчик BreachForums, роздавши ключі афіліатів 300 000 користувачам.
Атака почалася зі сканера вразливостей Trivy (CVE 2026 33634, CVSS 9.4) і за шість днів поширилася на GitHub Actions, Docker Hub, PyPI, NPM та OpenVSX, ставши першим задокументованим саморозповсюджуваним хробаком у ла...
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Між 19 і 27 березня 2026 року загрозливий актор, відомий як TeamPCP, здійснив те, що дослідники безпеки назвали «однією з найбільших атак на ланцюг постачання CI/CD в історії» . Використовуючи викрадені облікові дані з послідовних компрометацій інструментів, група переміщувалася через п'ять екосистем пакунків, скомпрометувавши понад 1000 хмарних середовищ підприємств, та офіційно об'єдналася з операцією програми-вимагача Vect, щоб перетворити викрадений доступ на вимагання . 2 липня 2026 року Кібернетичний відділ ФБР випустив критичне попередження FLASH із детальним описом кампанії та конкретними рекомендаціями щодо захисту . У цій статті зібрано всі ключові висновки з наявних джерел розвідки, включаючи попередження ФБР, дослідження Sophos та повний ланцюг атаки.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Атака TeamPCP на ланцюг постачання: що відомо та як захиститися"?
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під...
What are the key points to validate first?
TeamPCP здійснив одну з найбільших атак на ланцюг постачання CI/CD в історії: з 19 по 27 березня 2026 року зловмисники скомпрометували п'ять екосистем пакунків, викравши 340 ГБ даних з понад 1000 хмарних середовищ під... 2 липня 2026 року ФБР випустило критичне попередження FLASH, підтвердивши викрадення токенів доступу до хмар, ключів SSH та секретів Kubernetes, а також надавши конкретні рекомендації щодо пом'якшення наслідків.
What should I do next in practice?
TeamPCP офіційно об'єднався з програмою вимагачем Vect (RaaS) для подвійного вимагання, а Vect додатково залучив до співпраці майданчик BreachForums, роздавши ключі афіліатів 300 000 користувачам.
Ланцюг атаки: як TeamPCP скомпрометував інструменти розробників
TeamPCP (відстежується як UNC6780 групою Google Threat Intelligence, також використовує псевдоніми DeadCatx3, PCPcat та ShellForce) розпочав атаку з одного неповністю відкликаного персонального токена доступу GitHub .
Послідовність викрадення облікових даних
19 березня — Aqua Security Trivy: Початкова компрометація. TeamPCP отримав доступ до ключів підписання GitHub Actions та Docker Hub, а потім примусово надіслав шкідливий код до 75 із 76 тегів версій trivy-action та опублікував отруєні бінарні файли на GitHub Releases та Docker Hub . Це отримало позначку CVE-2026-33634 з оцінкою CVSS 9.4 .
20 березня — LiteLLM від BerriAI: Використовуючи облікові дані, викрадені з конвеєра Trivy, TeamPCP надіслав шкідливі версії LiteLLM, інструменту AI-шлюзу, що використовується для доступу до понад 100 LLM API, на PyPI та NPM .
27 березня — Telnyx PyPI: TeamPCP опублікував шкідливі версії (4.87.1 та 4.87.2) Python SDK Telnyx .
22 квітня — Checkmarx KICS та Bitwarden CLI: Пізніші хвилі атакували сканер безпеки KICS від Checkmarx та CLI Bitwarden протягом кількох годин одна від одної, використовуючи спільну C2-інфраструктуру . TrendMicro підтвердила, що це частина ширшої кампанії TeamPCP .
Docker Hub — шкідливі образи контейнерів, надіслані через скомпрометовані облікові записи
PyPI — шкідливі пакунки LiteLLM та Telnyx
NPM — заражені пакунки
OpenVSX (майданчик розширень VS Code) — отруєні розширення
Пізніше це було охарактеризовано як перший задокументований саморозповсюджуваний хробак у ланцюгу постачання, який автономно перетинає межі екосистем .
Масштаб впливу
Понад 1000 хмарних середовищ підприємств скомпрометовано, згідно зі звітом Halcyon про фазу вимагання Vect . Mandiant прогнозує зростання до 5000–10000 .
Приблизно 340 ГБ нестиснених даних викрадено лише з конвеєра Trivy/LiteLLM .
Близько 500 000 облікових даних зібрано в ході кампанії .
Попередження ФБР FLASH (2 липня 2026 року)
2 липня 2026 року Кібернетичний відділ ФБР випустив критичне попередження (повідомлене в іспанських ЗМІ 3 липня), підтвердивши, що TeamPCP проник у середовища розробки та витягнув токени доступу до хмар, ключі SSH та секрети Kubernetes.
Конкретні рекомендації ФБР щодо захисту
На основі звітів про попередження, ФБР порадило організаціям:
Перевірити конвеєри збірки/розгортання на наявність скомпрометованих версій інструментів, які використовувалися з 19 по 24 березня; вважати всі облікові дані, доступні в цих середовищах, викраденими
Змінити всі облікові дані, які могли бути скомпрометовані
Закріпити робочі процеси GitHub Actions за повними SHA комітів (перевірені геші) замість тегів або гілок
Запровадити принцип найменших привілеїв для CI/CD — обмежити, до яких токенів і секретів можуть отримувати доступ робочі процеси
Впровадити стійку до фішингу багатофакторну автентифікацію (MFA) (наприклад, FIDO2/WebAuthn)
Негайно змінити всі хмарні токени, ключі SSH та секрети Kubernetes
Шукати підозрілі репозиторії з назвами "tpcp-docs" або "docs-tpcp", які використовувалися зловмисниками для проміжного зберігання
У попередженні також зазначено, що вже викрадені дані та облікові дані слід вважати постійним ризиком .
Партнерство з програмою-вимагачем Vect
Офіційне операційне партнерство (кінець березня 2026 року)
26–27 березня 2026 року — TeamPCP офіційно об'єднався з програмою-вимагачем як послугою (RaaS) Vect, яка вперше з'явилася в грудні 2025 року .
Партнерство було оголошено на форумі даркнету "Breached" .
Vect негайно почав використовувати викрадені облікові дані TeamPCP для подвійного вимагання — шифрування даних жертв і публікації викраденої інформації .
Перші дані жертви з компрометації Trivy були опубліковані Vect у середині квітня 2026 року .
Додаткове партнерство Vect з BreachForums (16–18 квітня 2026 року)
Приблизно 16–18 квітня 2026 року Vect додатково об'єднався з кіберзлочинним майданчиком BreachForums.
За цією угодою, усі ~300 000 зареєстрованих користувачів BreachForums отримали доступ до афілійованих ключів Vect, що масово розширило базу операторів програм-вимагачів .
У звіті Dataminr Intel Brief це об'єднання назвали «безпрецедентною мобілізацією афіліатів» .
Дослідження Sophos (24 квітня 2026 року)
Sophos X-Ops опублікувала дослідження 24 квітня 2026 року, документуючи компрометації Checkmarx KICS та Bitwarden CLI як частину кампанії TeamPCP . Ключові висновки:
Обидва інструменти були захоплені 22 квітня 2026 року протягом кількох годин один після одного
Вони використовували спільний C2-домен, що пов'язало їх з одним і тим самим загрозливим актором
Атаки зловживали довіреними CI/CD робочими процесами релізів для масового викрадення облікових даних
Зв'язки TeamPCP з колективом The Com
Результати пошуку не виявили прямих доказів зв'язку TeamPCP з колективом The Com. TeamPCP був пов'язаний з конвеєром продажу даних LAPSUS$ та керує власним напрямком програм-вимагачів CipherForce, але специфічних зв'язків з The Com у доступних джерелах не знайдено .
Висновки для фахівців із захисту
Кампанія TeamPCP є переломним моментом у хмарній безпеці: зловмисники більше не обходять захист — вони використовують його як зброю. Ключові висновки для фахівців:
Ставтеся до конвеєрів CI/CD як до критичних поверхонь атаки — перевіряйте всі дозволи робочих процесів і використовуйте закріплення за комітами SHA
Вважайте облікові дані скомпрометованими, якщо запускався скомпрометований інструмент — негайно змініть усі секрети
Інвестуйте в стійку до фішингу багатофакторну автентифікацію — FIDO2/WebAuthn можуть запобігти подальшому доступу, навіть якщо токени викрадено
Моніторте репозиторії для проміжного зберігання з назвами tpcp-docs або docs-tpcp
Готуйтеся до моделі операційного партнерства — брокери початкового доступу тепер офіційно об'єднуються з афіліатами програм-вимагачів
Ланцюг атаки: як TeamPCP скомпрометував інструменти розробників
TeamPCP (відстежується як UNC6780 групою Google Threat Intelligence, також використовує псевдоніми DeadCatx3, PCPcat та ShellForce) розпочав атаку з одного неповністю відкликаного персонального токена доступу GitHub .
Послідовність викрадення облікових даних
19 березня — Aqua Security Trivy: Початкова компрометація. TeamPCP отримав доступ до ключів підписання GitHub Actions та Docker Hub, а потім примусово надіслав шкідливий код до 75 із 76 тегів версій trivy-action та опублікував отруєні бінарні файли на GitHub Releases та Docker Hub . Це отримало позначку CVE-2026-33634 з оцінкою CVSS 9.4 .
20 березня — LiteLLM від BerriAI: Використовуючи облікові дані, викрадені з конвеєра Trivy, TeamPCP надіслав шкідливі версії LiteLLM, інструменту AI-шлюзу, що використовується для доступу до понад 100 LLM API, на PyPI та NPM .
27 березня — Telnyx PyPI: TeamPCP опублікував шкідливі версії (4.87.1 та 4.87.2) Python SDK Telnyx .
22 квітня — Checkmarx KICS та Bitwarden CLI: Пізніші хвилі атакували сканер безпеки KICS від Checkmarx та CLI Bitwarden протягом кількох годин одна від одної, використовуючи спільну C2-інфраструктуру . TrendMicro підтвердила, що це частина ширшої кампанії TeamPCP .
Docker Hub — шкідливі образи контейнерів, надіслані через скомпрометовані облікові записи
PyPI — шкідливі пакунки LiteLLM та Telnyx
NPM — заражені пакунки
OpenVSX (майданчик розширень VS Code) — отруєні розширення
Пізніше це було охарактеризовано як перший задокументований саморозповсюджуваний хробак у ланцюгу постачання, який автономно перетинає межі екосистем .
Масштаб впливу
Понад 1000 хмарних середовищ підприємств скомпрометовано, згідно зі звітом Halcyon про фазу вимагання Vect . Mandiant прогнозує зростання до 5000–10000 .
Приблизно 340 ГБ нестиснених даних викрадено лише з конвеєра Trivy/LiteLLM .
Близько 500 000 облікових даних зібрано в ході кампанії .
Попередження ФБР FLASH (2 липня 2026 року)
2 липня 2026 року Кібернетичний відділ ФБР випустив критичне попередження (повідомлене в іспанських ЗМІ 3 липня), підтвердивши, що TeamPCP проник у середовища розробки та витягнув токени доступу до хмар, ключі SSH та секрети Kubernetes.
Конкретні рекомендації ФБР щодо захисту
На основі звітів про попередження, ФБР порадило організаціям:
Перевірити конвеєри збірки/розгортання на наявність скомпрометованих версій інструментів, які використовувалися з 19 по 24 березня; вважати всі облікові дані, доступні в цих середовищах, викраденими
Змінити всі облікові дані, які могли бути скомпрометовані
Закріпити робочі процеси GitHub Actions за повними SHA комітів (перевірені геші) замість тегів або гілок
Запровадити принцип найменших привілеїв для CI/CD — обмежити, до яких токенів і секретів можуть отримувати доступ робочі процеси
Впровадити стійку до фішингу багатофакторну автентифікацію (MFA) (наприклад, FIDO2/WebAuthn)
Негайно змінити всі хмарні токени, ключі SSH та секрети Kubernetes
Шукати підозрілі репозиторії з назвами "tpcp-docs" або "docs-tpcp", які використовувалися зловмисниками для проміжного зберігання
У попередженні також зазначено, що вже викрадені дані та облікові дані слід вважати постійним ризиком .
Партнерство з програмою-вимагачем Vect
Офіційне операційне партнерство (кінець березня 2026 року)
26–27 березня 2026 року — TeamPCP офіційно об'єднався з програмою-вимагачем як послугою (RaaS) Vect, яка вперше з'явилася в грудні 2025 року .
Партнерство було оголошено на форумі даркнету "Breached" .
Vect негайно почав використовувати викрадені облікові дані TeamPCP для подвійного вимагання — шифрування даних жертв і публікації викраденої інформації .
Перші дані жертви з компрометації Trivy були опубліковані Vect у середині квітня 2026 року .
Додаткове партнерство Vect з BreachForums (16–18 квітня 2026 року)
Приблизно 16–18 квітня 2026 року Vect додатково об'єднався з кіберзлочинним майданчиком BreachForums.
За цією угодою, усі ~300 000 зареєстрованих користувачів BreachForums отримали доступ до афілійованих ключів Vect, що масово розширило базу операторів програм-вимагачів .
У звіті Dataminr Intel Brief це об'єднання назвали «безпрецедентною мобілізацією афіліатів» .
Дослідження Sophos (24 квітня 2026 року)
Sophos X-Ops опублікувала дослідження 24 квітня 2026 року, документуючи компрометації Checkmarx KICS та Bitwarden CLI як частину кампанії TeamPCP . Ключові висновки:
Обидва інструменти були захоплені 22 квітня 2026 року протягом кількох годин один після одного
Вони використовували спільний C2-домен, що пов'язало їх з одним і тим самим загрозливим актором
Атаки зловживали довіреними CI/CD робочими процесами релізів для масового викрадення облікових даних
Зв'язки TeamPCP з колективом The Com
Результати пошуку не виявили прямих доказів зв'язку TeamPCP з колективом The Com. TeamPCP був пов'язаний з конвеєром продажу даних LAPSUS$ та керує власним напрямком програм-вимагачів CipherForce, але специфічних зв'язків з The Com у доступних джерелах не знайдено .
Висновки для фахівців із захисту
Кампанія TeamPCP є переломним моментом у хмарній безпеці: зловмисники більше не обходять захист — вони використовують його як зброю. Ключові висновки для фахівців:
Ставтеся до конвеєрів CI/CD як до критичних поверхонь атаки — перевіряйте всі дозволи робочих процесів і використовуйте закріплення за комітами SHA
Вважайте облікові дані скомпрометованими, якщо запускався скомпрометований інструмент — негайно змініть усі секрети
Інвестуйте в стійку до фішингу багатофакторну автентифікацію — FIDO2/WebAuthn можуть запобігти подальшому доступу, навіть якщо токени викрадено
Моніторте репозиторії для проміжного зберігання з назвами tpcp-docs або docs-tpcp
Готуйтеся до моделі операційного партнерства — брокери початкового доступу тепер офіційно об'єднуються з афіліатами програм-вимагачів
