TeamPCP供应链攻击：史上最大CI/CD事件之一，FBI发布紧急警报，勒索软件联盟浮出水面

在2026年3月19日至27日期间，威胁组织TeamPCP实施了被安全研究人员称为“有史以来最大规模的CI/CD供应链攻击之一”的行动^IS。该组织利用从连续工具入侵中窃取的凭证，在五个包生态系统中横向移动，共入侵了超过1000个企业云环境，并于3月底正式与Vect勒索软件即服务（RaaS）运营团伙结盟，将窃取的访问权限转化为勒索工具^H。2026年7月2日，美国联邦调查局（FBI）网络部门发布了一份至关重要的FLASH警报，详细描述了此次攻击活动并提供了具体的缓解建议^IS。本文将综合所有可用情报来源（包括FBI警报、Sophos研究以及完整的攻击链分析）的每一项关键发现。

攻击链：TeamPCP如何入侵开发者工具

TeamPCP（谷歌威胁情报组跟踪编号为UNC6780，别名还包括DeadCatx3、PCPcat和ShellForce）的整个攻击始于一个未被完全轮换的GitHub个人访问令牌^JG。

凭证收割序列

• 3月19日——入侵Aqua Security的Trivy：这是整个攻击的起点。TeamPCP获得了Trivy的GitHub Actions和Docker Hub签名密钥的访问权限，然后强制推送恶意代码到75个（共76个）trivy-action版本标签，并将被污染的二进制文件发布到GitHub Releases和Docker Hub^ISG。此漏洞被分配编号为CVE-2026-33634，CVSS评分为9.4^G。
• 3月20日——入侵BerriAI的LiteLLM：利用从Trivy管道窃取的凭证，TeamPCP将LiteLLM（一种AI网关工具，用于访问超过100个LLM API）的恶意版本推送到了PyPI和NPM^ISD。
• 3月27日——入侵Telnyx PyPI包：TeamPCP发布了Telnyx Python SDK的恶意版本（4.87.1和4.87.2）^IL。
• 4月22日——入侵Checkmarx KICS和Bitwarden CLI：在后续波次中，攻击者在数小时内先后针对Checkmarx的KICS安全扫描器和Bitwarden的CLI，两者共享相同的C2基础设施^AS。TrendMicro确认这些攻击是TeamPCP更广泛行动的一部分^T。

生态系统级联（6天内）

在六天内，攻击波及了以下生态系统：

• GitHub Actions——被污染的CI/CD工作流窃取了令牌和签名密钥。
• Docker Hub——通过被盗账户推送了恶意的容器镜像。
• PyPI——投放了恶意的LiteLLM和Telnyx包。
• NPM——感染了多个包。
• OpenVSX（VS Code扩展市场）——投放了被污染的扩展。

这一系列攻击后来被定性为第一个有记录的自传播供应链蠕虫，能够自主跨越生态系统边界^L。

影响规模

• 超过1000个企业云环境被入侵（根据Halcyon关于Vect勒索阶段的报告）^H。Mandiant的评估预测受感染数量将增长到5000至10000个^M。
• 仅从Trivy/LiteLLM管道就窃取了约340GB的未压缩数据^S。
• 整个攻击行动估计已窃取约50万个凭证^T。

FBI FLASH警报（2026年7月2日）

2026年7月2日，FBI网络部门发布了一份关键警报（西班牙媒体于7月3日报道），确认TeamPCP已渗透进开发环境，并窃取了云访问令牌、SSH密钥和Kubernetes机密^ISL。

FBI的具体缓解建议

根据警报内容，FBI建议组织机构：

• 审计构建/部署管道，排查3月19日至24日期间是否使用了被攻破的工具版本；假设这些环境中可访问的任何凭证都已被窃取^S。
• 轮换所有可能已暴露的凭证^S。
• 将GitHub Actions工作流固定到完整的提交SHA（已验证的哈希值），而不是标签或分支^S。
• 实施CI/CD最小权限原则——限制工作流可以访问的令牌和机密^S。
• 实施防钓鱼的多因素认证（例如FIDO2/WebAuthn）^S。
• 立即轮换所有云令牌、SSH密钥和Kubernetes机密^S。
• 搜索攻击者用于暂存的可疑仓库，名为"tpcp-docs"或"docs-tpcp"^S。

警报还指出，已被窃取的数据和凭证应被视为持续存在的风险^S。

与Vect勒索软件的合作

正式运营合作（2026年3月下旬）

• 2026年3月26-27日——TeamPCP与Vect勒索软件即服务（RaaS） 行动正式合作，后者于2025年12月首次出现^III。
• 该合作是在暗网论坛“Breached”上宣布的^S。
• Vect立即开始利用TeamPCP窃取的凭证访问权限进行双重勒索——加密受害者的数据并公布窃取的数据^FH。
• 来自Trivy攻击的第一个被点名的受害者数据于2026年4月中旬由Vect发布^H。

Vect与BreachForums的额外合作（2026年4月16-18日）

• 大约在2026年4月16-18日，Vect还与BreachForums网络犯罪市场建立了合作关系^DH。
• 根据协议，所有约30万注册的BreachForums用户都将获得Vect加盟密钥，从而极大地扩展了勒索软件运营者的数量^FD。
• Dataminr情报简报将这种融合描述为“前所未有的加盟商动员规模”^D。

Sophos研究（2026年4月24日）

Sophos X-Ops于2026年4月24日发表研究，记录了作为TeamPCP行动一部分的Checkmarx KICS和Bitwarden CLI被入侵事件^S。关键发现包括：

• 这两个工具于2026年4月22日在数小时内相继被劫持。
• 它们共享同一个C2域名，从而关联到同一个威胁行为者。
• 这些攻击滥用了受信任的CI/CD发布工作流，大规模窃取凭证^S。

防御者要点

TeamPCP行动标志着云安全的一个转折点：攻击者不再绕过防御，而是将防御武器化。防御者的关键要点如下：

1. 将CI/CD管道视为关键攻击面——审计所有工作流权限并采用提交SHA固定。
2. 如果运行了被攻破的工具，则假定凭证已暴露——立即轮换所有机密。
3. 投资于防钓鱼MFA——即使令牌被盗，FIDO2/WebAuthn也能阻止后续访问。
4. 监控名为tpcp-docs或docs-tpcp的暂存仓库。
5. 为运营合作模式做好准备——初始访问中间商现在正正式与勒索软件附属机构合作。