TeamPCP атакует цепочку поставок через CI/CD и крадет учетные данные
Анализ двух инцидентов, связанных с TeamPCP и произошедших в апреле 2026 года, показывает, что злоумышленники выстроили сложную Supply chain attack, ориентированную на массовую кражу учетных данных. Речь идет о случаях с Checkmarx KICS от 22 апреля и elementary-data от 24 апреля. Оба эпизода демонстрируют, как доверенные рабочие процессы Continuous Integration and Continuous Deployment (CI/CD) могут быть использованы для компрометации сразу нескольких сред разработки.
Многоэтапная атака на экосистему разработки
В инциденте с Checkmarx KICS группа TeamPCP применила многоканальную схему проникновения, затронув разные платформы, включая Docker Hub, GitHub Actions и OpenVSX. Злоумышленники подменили легитимные Docker-образы и внесли изменения в рабочие процессы GitHub, чтобы внедрить вредоносные скрипты.
Затем они использовали украденные npm-токены для перехвата контроля над компонентами следующего уровня, в том числе @bitwarden/cli. Это позволило им развивать атаку уже на базе скомпрометированных учетных данных, расширяя ее масштаб и глубину проникновения.
Извлеченная из этого инцидента вредоносная нагрузка целенаправленно собирала широкий набор секретов, включая:
- GitHub Personal Access Tokens (PAT);
- учетные данные облачных провайдеров;
- SSH-ключи.
Такой набор целей указывает на методичный подход к захвату учетных записей и дальнейшему закреплению в инфраструктуре жертв.
Инъекция через GitHub Actions и обход традиционной защиты
Инцидент с elementary-data показал еще более изощренный сценарий. В этом случае злоумышленники применили инъекцию скриптов через комментарий в pull request для GitHub Actions. Прямой доступ к учетным данным maintainer не понадобился: один комментарий запустил легитимный CI-процесс, который в итоге выпустил вредоносный пакет, криптографически подписанный так, будто он был подлинным.
Компонент использовал механизм файлов .pth в Python, что позволяло ему запускаться при каждом старте любого интерпретатора Python. В результате компрометация охватывала множество систем без необходимости оставлять устойчивые артефакты на диске. Такая архитектура затрудняла обнаружение и обходила традиционные средства защиты, включая antivirus-решения.
Охота за секретами: AWS, файловые пути и шифрование
Особую опасность представляла вредоносная полезная нагрузка, рассчитанная на извлечение учетных данных различными способами. В частности, она обращалась к живым AWS API для сбора секретов из Secrets Manager и EC2 Metadata Service, расширяя угрозу далеко за пределы локального хранилища секретов.
Кроме того, нагрузка охватывала более 80 различных путей к файлам учетных данных по нескольким категориям, что существенно увеличивало потенциальную поверхность атаки.
Среди ключевых индикаторов компрометации аналитики выделяют:
- использование AES-256-GCM для шифрования полезной нагрузки;
- жестко закодированный public key в вредоносном коде;
- гибкую инфраструктуру C&C, способную быстро переключаться между доменами и методами эксфильтрации.
Подобная схема обеспечивала сохранение доступа к украденным учетным данным после эксплуатации и усложняла реакцию защитных систем.
Вывод: CI/CD остается одной из главных точек риска
Анализ этих инцидентов подчеркивает критическую необходимость строгих практик безопасности в CI/CD-процессах, особенно в части соблюдения принципа наименьших привилегий. Атаки, использующие доверенные рабочие процессы, показывают, насколько сложной остается защита от Supply chain attack и как устойчиво злоумышленники продолжают делать ставку на кражу учетных данных как на наиболее ценную цель.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
