Bên trong cuộc tấn công chuỗi cung ứng TeamPCP: Cảnh báo FBI, ransomware Vect và những gì người bảo vệ phải làm ngay
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày. Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày.
Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
FBI phát cảnh báo FLASH khẩn cấp vào ngày 2/7/2026, xác nhận TeamPCP đã đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
TeamPCP hợp tác chính thức với ransomware Vect (cuối tháng 3/2026) và sau đó Vect liên minh với diễn đàn tội phạm mạng BreachForums (16 18/4/2026).
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
Prompt AI
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Từ ngày 19 đến 27 tháng 3 năm 2026, một nhóm tin tặc có tên TeamPCP đã thực hiện cuộc tấn công mà các chuyên gia bảo mật gọi là "một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từng được ghi nhận" . Bằng cách sử dụng thông tin xác thực bị đánh cắp từ các cuộc tấn công liên tiếp vào các công cụ phát triển, nhóm này đã xâm nhập thành công vào hơn 1.000 môi trường đám mây doanh nghiệp và chính thức bắt tay với băng ransomware Vect để biến quyền truy cập đã đánh cắp thành công cụ tống tiền . Vào ngày 2 tháng 7 năm 2026, Bộ phận Mạng của FBI đã ban hành một cảnh báo FLASH khẩn cấp, nêu chi tiết về chiến dịch và đưa ra các khuyến nghị khắc phục cụ thể . Bài viết này tổng hợp mọi phát hiện chính từ các nguồn thông tin tình báo sẵn có, bao gồm cảnh báo FBI, nghiên cứu của Sophos và toàn bộ chuỗi tấn công.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Bên trong cuộc tấn công chuỗi cung ứng TeamPCP: Cảnh báo FBI, ransomware Vect và những gì người bảo vệ phải làm ngay" là gì?
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày.
Những điểm chính cần xác nhận đầu tiên là gì?
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày. Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
Tôi nên làm gì tiếp theo trong thực tế?
FBI phát cảnh báo FLASH khẩn cấp vào ngày 2/7/2026, xác nhận TeamPCP đã đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
Bên trong cuộc tấn công chuỗi cung ứng TeamPCP: Cảnh báo FBI, ransomware Vect và những gì người bảo vệ phải làm ngay
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày. Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày.
Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
FBI phát cảnh báo FLASH khẩn cấp vào ngày 2/7/2026, xác nhận TeamPCP đã đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
TeamPCP hợp tác chính thức với ransomware Vect (cuối tháng 3/2026) và sau đó Vect liên minh với diễn đàn tội phạm mạng BreachForums (16 18/4/2026).
Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain aThe TeamPCP supply chain attack chain: from compromised security scanners to ransomware extortion
Prompt AI
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from the FBI alert and Sophos research about the TeamPCP supply chain a. Article summary: Here is the fact-checked synthesis of the TeamPCP campaign based on available sources. A few specific details (Okta's exact recommendations and TeamPCP's link to The Com collective) were not captured in the search result. Topic tags: general, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com
Từ ngày 19 đến 27 tháng 3 năm 2026, một nhóm tin tặc có tên TeamPCP đã thực hiện cuộc tấn công mà các chuyên gia bảo mật gọi là "một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từng được ghi nhận" . Bằng cách sử dụng thông tin xác thực bị đánh cắp từ các cuộc tấn công liên tiếp vào các công cụ phát triển, nhóm này đã xâm nhập thành công vào hơn 1.000 môi trường đám mây doanh nghiệp và chính thức bắt tay với băng ransomware Vect để biến quyền truy cập đã đánh cắp thành công cụ tống tiền . Vào ngày 2 tháng 7 năm 2026, Bộ phận Mạng của FBI đã ban hành một cảnh báo FLASH khẩn cấp, nêu chi tiết về chiến dịch và đưa ra các khuyến nghị khắc phục cụ thể . Bài viết này tổng hợp mọi phát hiện chính từ các nguồn thông tin tình báo sẵn có, bao gồm cảnh báo FBI, nghiên cứu của Sophos và toàn bộ chuỗi tấn công.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Bên trong cuộc tấn công chuỗi cung ứng TeamPCP: Cảnh báo FBI, ransomware Vect và những gì người bảo vệ phải làm ngay" là gì?
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày.
Những điểm chính cần xác nhận đầu tiên là gì?
TeamPCP thực hiện một trong những cuộc tấn công chuỗi cung ứng CI/CD lớn nhất từ ngày 19 27/3/2026, xâm nhập 5 hệ sinh thái gói phần mềm trong 6 ngày. Tin tặc đánh cắp khoảng 340 GB dữ liệu và khoảng 500.000 thông tin xác thực từ hơn 1.000 môi trường đám mây doanh nghiệp.
Tôi nên làm gì tiếp theo trong thực tế?
FBI phát cảnh báo FLASH khẩn cấp vào ngày 2/7/2026, xác nhận TeamPCP đã đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
Chuỗi tấn công: TeamPCP đã xâm phạm các công cụ phát triển như thế nào
TeamPCP (được theo dõi với mã UNC6780 bởi Nhóm Tình báo Đe dọa của Google, còn dùng các biệt danh DeadCatx3, PCPcat và ShellForce) bắt đầu chiến dịch chỉ với một mã thông báo truy cập cá nhân (PAT) GitHub chưa được thu hồi hoàn toàn .
Trình tự thu thập thông tin xác thực
Ngày 19 tháng 3 — Trivy của Aqua Security: Cuộc xâm nhập đầu tiên. TeamPCP giành được quyền truy cập vào các khóa ký GitHub Actions và Docker Hub của Trivy, sau đó ép đẩy mã độc vào 75 trong số 76 thẻ phiên bản của trivy-action và phát tán các tệp nhị phân bị nhiễm độc lên GitHub Releases và Docker Hub . Sự cố này được gán mã CVE-2026-33634 với điểm CVSS 9.4 .
Ngày 20 tháng 3 — LiteLLM của BerriAI: Sử dụng thông tin xác thực đánh cắp từ đường ống Trivy, TeamPCP đã đẩy các phiên bản độc hại của LiteLLM, một công cụ cổng AI được dùng để truy cập hơn 100 API LLM, lên PyPI và NPM .
Ngày 27 tháng 3 — Telnyx PyPI: TeamPCP phát hành các phiên bản độc hại (4.87.1 và 4.87.2) của SDK Python Telnyx .
Ngày 22 tháng 4 — Checkmarx KICS và Bitwarden CLI: Các đợt tấn công sau đó nhắm vào máy quét bảo mật KICS của Checkmarx và CLI của Bitwarden chỉ trong vòng vài giờ, chia sẻ cùng một cơ sở hạ tầng C2 . TrendMicro xác nhận đây là một phần của chiến dịch TeamPCP lớn hơn .
Sự lây lan qua các hệ sinh thái (6 ngày)
Trong vòng sáu ngày, cuộc tấn công đã lan rộng qua:
GitHub Actions — các workflow CI/CD bị nhiễm độc đánh cắp token và khóa ký
Docker Hub — các image container độc hại được đẩy lên qua các tài khoản bị xâm phạm
PyPI — các gói LiteLLM và Telnyx độc hại
NPM — các gói bị nhiễm
OpenVSX (chợ tiện ích mở rộng VS Code) — các tiện ích mở rộng bị đầu độc
Sau đó, cuộc tấn công này được mô tả là con sâu chuỗi cung ứng tự lan truyền đầu tiên được ghi nhận có khả năng vượt qua ranh giới các hệ sinh thái một cách tự động .
Quy mô ảnh hưởng
Hơn 1.000 môi trường đám mây doanh nghiệp bị xâm phạm, theo báo cáo của Halcyon về giai đoạn tống tiền Vect . Mandiant ước tính con số này có thể tăng lên 5.000–10.000 .
Khoảng 340 GB dữ liệu chưa nén bị đánh cắp chỉ riêng từ đường ống Trivy/LiteLLM .
Khoảng 500.000 thông tin xác thực đã bị thu thập trong toàn bộ chiến dịch .
Cảnh báo FLASH của FBI (Ngày 2 tháng 7 năm 2026)
Vào ngày 2 tháng 7 năm 2026, Bộ phận Mạng của FBI đã ban hành một cảnh báo quan trọng (được truyền thông Tây Ban Nha đưa tin vào ngày 3 tháng 7) xác nhận rằng TeamPCP đã xâm nhập vào môi trường phát triển và đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
Các khuyến nghị khắc phục cụ thể của FBI
Dựa trên nội dung cảnh báo, FBI khuyên các tổ chức nên:
Kiểm tra đường ống xây dựng/triển khai để tìm các phiên bản công cụ bị xâm phạm được sử dụng từ ngày 19-24 tháng 3; giả định rằng bất kỳ thông tin xác thực nào có thể truy cập được trong các môi trường đó đều đã bị đánh cắp
Thay đổi tất cả thông tin xác thực có thể đã bị lộ
Ghim các workflow GitHub Actions vào commit SHA đầy đủ (mã băm đã được xác minh) thay vì thẻ hoặc nhánh
Thực thi quyền CI/CD tối thiểu — hạn chế token và bí mật mà workflow có thể truy cập
Triển khai MFA chống phishing (ví dụ: FIDO2/WebAuthn)
Thay đổi ngay lập tức tất cả token đám mây, khóa SSH và bí mật Kubernetes
Tìm kiếm các kho lưu trữ đáng ngờ có tên "tpcp-docs" hoặc "docs-tpcp" mà tin tặc sử dụng để dàn dựng
Cảnh báo cũng lưu ý rằng dữ liệu và thông tin xác thực đã bị đánh cắp nên được coi là rủi ro dai dẳng .
Liên minh với ransomware Vect
Quan hệ đối tác vận hành chính thức (Cuối tháng 3 năm 2026)
Ngày 26–27 tháng 3 năm 2026 — TeamPCP chính thức hợp tác với hoạt động ransomware-as-a-service (RaaS) Vect, lần đầu tiên xuất hiện vào tháng 12 năm 2025 .
Thỏa thuận được công bố trên diễn đàn web đen "Breached" .
Vect ngay lập tức sử dụng quyền truy cập thông tin xác thực bị đánh cắp của TeamPCP để thực hiện tống tiền kép — mã hóa nạn nhân và công bố dữ liệu bị đánh cắp .
Dữ liệu nạn nhân có tên đầu tiên từ vụ xâm phạm Trivy đã được Vect công bố vào giữa tháng 4 năm 2026 .
Quan hệ đối tác bổ sung của Vect với BreachForums (16–18 tháng 4 năm 2026)
Vào khoảng ngày 16–18 tháng 4 năm 2026, Vect đã hợp tác thêm với chợ tội phạm mạng BreachForums.
Theo thỏa thuận này, tất cả khoảng 300.000 người dùng đã đăng ký của BreachForums đều được cấp khóa liên kết Vect, mở rộng đáng kể đội ngũ vận hành ransomware .
Bản tin tình báo của Dataminr gọi sự hội tụ này là "sự huy động liên kết chưa từng có" .
Nghiên cứu của Sophos (Ngày 24 tháng 4 năm 2026)
Sophos X-Ops đã công bố nghiên cứu vào ngày 24 tháng 4 năm 2026, ghi nhận các vụ xâm phạm Checkmarx KICS và Bitwarden CLI là một phần của chiến dịch TeamPCP . Những phát hiện chính:
Cả hai công cụ đều bị chiếm quyền điều khiển vào ngày 22 tháng 4 năm 2026, chỉ trong vòng vài giờ với nhau
Chúng chia sẻ cùng một tên miền C2, cho thấy chúng thuộc cùng một nhóm tin tặc
Các cuộc tấn công đã lạm dụng các workflow phát hành CI/CD đáng tin cậy để đánh cắp thông tin xác thực trên quy mô lớn
Mối liên hệ của TeamPCP với Tập thể The Com
Các kết quả tìm kiếm không đưa ra bằng chứng trực tiếp nào liên kết TeamPCP với tập thể The Com. TeamPCP có liên quan đến đường ống bán dữ liệu LAPSUS$ và vận hành nhánh ransomware CipherForce của riêng mình, nhưng các liên kết cụ thể với Com không được tìm thấy trong các nguồn sẵn có .
Bài học cho người bảo vệ
Chiến dịch TeamPCP đánh dấu một bước ngoặt trong bảo mật đám mây: kẻ tấn công không còn vượt qua hệ thống phòng thủ nữa — chúng đang vũ khí hóa chúng. Những bài học chính cho người bảo vệ:
Coi đường ống CI/CD là bề mặt tấn công quan trọng — kiểm tra tất cả quyền workflow và áp dụng ghim commit-SHA
Giả định thông tin xác thực đã bị lộ nếu một công cụ bị xâm phạm đã chạy — thay đổi tất cả bí mật ngay lập tức
Đầu tư vào MFA chống phishing — FIDO2/WebAuthn có thể ngăn chặn truy cập tiếp theo ngay cả khi token bị đánh cắp
Theo dõi các kho lưu trữ dàn dựng có tên tpcp-docs hoặc docs-tpcp
Chuẩn bị cho mô hình quan hệ đối tác vận hành — những nhà môi giới truy cập ban đầu hiện đang chính thức hợp tác với các chi nhánh ransomware
Chuỗi tấn công: TeamPCP đã xâm phạm các công cụ phát triển như thế nào
TeamPCP (được theo dõi với mã UNC6780 bởi Nhóm Tình báo Đe dọa của Google, còn dùng các biệt danh DeadCatx3, PCPcat và ShellForce) bắt đầu chiến dịch chỉ với một mã thông báo truy cập cá nhân (PAT) GitHub chưa được thu hồi hoàn toàn .
Trình tự thu thập thông tin xác thực
Ngày 19 tháng 3 — Trivy của Aqua Security: Cuộc xâm nhập đầu tiên. TeamPCP giành được quyền truy cập vào các khóa ký GitHub Actions và Docker Hub của Trivy, sau đó ép đẩy mã độc vào 75 trong số 76 thẻ phiên bản của trivy-action và phát tán các tệp nhị phân bị nhiễm độc lên GitHub Releases và Docker Hub . Sự cố này được gán mã CVE-2026-33634 với điểm CVSS 9.4 .
Ngày 20 tháng 3 — LiteLLM của BerriAI: Sử dụng thông tin xác thực đánh cắp từ đường ống Trivy, TeamPCP đã đẩy các phiên bản độc hại của LiteLLM, một công cụ cổng AI được dùng để truy cập hơn 100 API LLM, lên PyPI và NPM .
Ngày 27 tháng 3 — Telnyx PyPI: TeamPCP phát hành các phiên bản độc hại (4.87.1 và 4.87.2) của SDK Python Telnyx .
Ngày 22 tháng 4 — Checkmarx KICS và Bitwarden CLI: Các đợt tấn công sau đó nhắm vào máy quét bảo mật KICS của Checkmarx và CLI của Bitwarden chỉ trong vòng vài giờ, chia sẻ cùng một cơ sở hạ tầng C2 . TrendMicro xác nhận đây là một phần của chiến dịch TeamPCP lớn hơn .
Sự lây lan qua các hệ sinh thái (6 ngày)
Trong vòng sáu ngày, cuộc tấn công đã lan rộng qua:
GitHub Actions — các workflow CI/CD bị nhiễm độc đánh cắp token và khóa ký
Docker Hub — các image container độc hại được đẩy lên qua các tài khoản bị xâm phạm
PyPI — các gói LiteLLM và Telnyx độc hại
NPM — các gói bị nhiễm
OpenVSX (chợ tiện ích mở rộng VS Code) — các tiện ích mở rộng bị đầu độc
Sau đó, cuộc tấn công này được mô tả là con sâu chuỗi cung ứng tự lan truyền đầu tiên được ghi nhận có khả năng vượt qua ranh giới các hệ sinh thái một cách tự động .
Quy mô ảnh hưởng
Hơn 1.000 môi trường đám mây doanh nghiệp bị xâm phạm, theo báo cáo của Halcyon về giai đoạn tống tiền Vect . Mandiant ước tính con số này có thể tăng lên 5.000–10.000 .
Khoảng 340 GB dữ liệu chưa nén bị đánh cắp chỉ riêng từ đường ống Trivy/LiteLLM .
Khoảng 500.000 thông tin xác thực đã bị thu thập trong toàn bộ chiến dịch .
Cảnh báo FLASH của FBI (Ngày 2 tháng 7 năm 2026)
Vào ngày 2 tháng 7 năm 2026, Bộ phận Mạng của FBI đã ban hành một cảnh báo quan trọng (được truyền thông Tây Ban Nha đưa tin vào ngày 3 tháng 7) xác nhận rằng TeamPCP đã xâm nhập vào môi trường phát triển và đánh cắp token truy cập đám mây, khóa SSH và bí mật Kubernetes.
Các khuyến nghị khắc phục cụ thể của FBI
Dựa trên nội dung cảnh báo, FBI khuyên các tổ chức nên:
Kiểm tra đường ống xây dựng/triển khai để tìm các phiên bản công cụ bị xâm phạm được sử dụng từ ngày 19-24 tháng 3; giả định rằng bất kỳ thông tin xác thực nào có thể truy cập được trong các môi trường đó đều đã bị đánh cắp
Thay đổi tất cả thông tin xác thực có thể đã bị lộ
Ghim các workflow GitHub Actions vào commit SHA đầy đủ (mã băm đã được xác minh) thay vì thẻ hoặc nhánh
Thực thi quyền CI/CD tối thiểu — hạn chế token và bí mật mà workflow có thể truy cập
Triển khai MFA chống phishing (ví dụ: FIDO2/WebAuthn)
Thay đổi ngay lập tức tất cả token đám mây, khóa SSH và bí mật Kubernetes
Tìm kiếm các kho lưu trữ đáng ngờ có tên "tpcp-docs" hoặc "docs-tpcp" mà tin tặc sử dụng để dàn dựng
Cảnh báo cũng lưu ý rằng dữ liệu và thông tin xác thực đã bị đánh cắp nên được coi là rủi ro dai dẳng .
Liên minh với ransomware Vect
Quan hệ đối tác vận hành chính thức (Cuối tháng 3 năm 2026)
Ngày 26–27 tháng 3 năm 2026 — TeamPCP chính thức hợp tác với hoạt động ransomware-as-a-service (RaaS) Vect, lần đầu tiên xuất hiện vào tháng 12 năm 2025 .
Thỏa thuận được công bố trên diễn đàn web đen "Breached" .
Vect ngay lập tức sử dụng quyền truy cập thông tin xác thực bị đánh cắp của TeamPCP để thực hiện tống tiền kép — mã hóa nạn nhân và công bố dữ liệu bị đánh cắp .
Dữ liệu nạn nhân có tên đầu tiên từ vụ xâm phạm Trivy đã được Vect công bố vào giữa tháng 4 năm 2026 .
Quan hệ đối tác bổ sung của Vect với BreachForums (16–18 tháng 4 năm 2026)
Vào khoảng ngày 16–18 tháng 4 năm 2026, Vect đã hợp tác thêm với chợ tội phạm mạng BreachForums.
Theo thỏa thuận này, tất cả khoảng 300.000 người dùng đã đăng ký của BreachForums đều được cấp khóa liên kết Vect, mở rộng đáng kể đội ngũ vận hành ransomware .
Bản tin tình báo của Dataminr gọi sự hội tụ này là "sự huy động liên kết chưa từng có" .
Nghiên cứu của Sophos (Ngày 24 tháng 4 năm 2026)
Sophos X-Ops đã công bố nghiên cứu vào ngày 24 tháng 4 năm 2026, ghi nhận các vụ xâm phạm Checkmarx KICS và Bitwarden CLI là một phần của chiến dịch TeamPCP . Những phát hiện chính:
Cả hai công cụ đều bị chiếm quyền điều khiển vào ngày 22 tháng 4 năm 2026, chỉ trong vòng vài giờ với nhau
Chúng chia sẻ cùng một tên miền C2, cho thấy chúng thuộc cùng một nhóm tin tặc
Các cuộc tấn công đã lạm dụng các workflow phát hành CI/CD đáng tin cậy để đánh cắp thông tin xác thực trên quy mô lớn
Mối liên hệ của TeamPCP với Tập thể The Com
Các kết quả tìm kiếm không đưa ra bằng chứng trực tiếp nào liên kết TeamPCP với tập thể The Com. TeamPCP có liên quan đến đường ống bán dữ liệu LAPSUS$ và vận hành nhánh ransomware CipherForce của riêng mình, nhưng các liên kết cụ thể với Com không được tìm thấy trong các nguồn sẵn có .
Bài học cho người bảo vệ
Chiến dịch TeamPCP đánh dấu một bước ngoặt trong bảo mật đám mây: kẻ tấn công không còn vượt qua hệ thống phòng thủ nữa — chúng đang vũ khí hóa chúng. Những bài học chính cho người bảo vệ:
Coi đường ống CI/CD là bề mặt tấn công quan trọng — kiểm tra tất cả quyền workflow và áp dụng ghim commit-SHA
Giả định thông tin xác thực đã bị lộ nếu một công cụ bị xâm phạm đã chạy — thay đổi tất cả bí mật ngay lập tức
Đầu tư vào MFA chống phishing — FIDO2/WebAuthn có thể ngăn chặn truy cập tiếp theo ngay cả khi token bị đánh cắp
Theo dõi các kho lưu trữ dàn dựng có tên tpcp-docs hoặc docs-tpcp
Chuẩn bị cho mô hình quan hệ đối tác vận hành — những nhà môi giới truy cập ban đầu hiện đang chính thức hợp tác với các chi nhánh ransomware
