TeamPCP атакует цепочку поставок через CI/CD и крадет учетные данные

Анализ двух инцидентов, связанных с TeamPCP и произошедших в апреле 2026 года, показывает, что злоумышленники выстроили сложную Supply chain attack, ориентированную на массовую кражу учетных данных. Речь идет о случаях с Checkmarx KICS от 22 апреля и elementary-data от 24 апреля. Оба эпизода демонстрируют, как доверенные рабочие процессы Continuous Integration and Continuous Deployment (CI/CD) могут быть использованы для компрометации сразу нескольких сред разработки.

Многоэтапная атака на экосистему разработки

В инциденте с Checkmarx KICS группа TeamPCP применила многоканальную схему проникновения, затронув разные платформы, включая Docker Hub, GitHub Actions и OpenVSX. Злоумышленники подменили легитимные Docker-образы и внесли изменения в рабочие процессы GitHub, чтобы внедрить вредоносные скрипты.

Затем они использовали украденные npm-токены для перехвата контроля над компонентами следующего уровня, в том числе @bitwarden/cli. Это позволило им развивать атаку уже на базе скомпрометированных учетных данных, расширяя ее масштаб и глубину проникновения.

Извлеченная из этого инцидента вредоносная нагрузка целенаправленно собирала широкий набор секретов, включая:

• GitHub Personal Access Tokens (PAT);
• учетные данные облачных провайдеров;
• SSH-ключи.

Такой набор целей указывает на методичный подход к захвату учетных записей и дальнейшему закреплению в инфраструктуре жертв.

Инъекция через GitHub Actions и обход традиционной защиты

Инцидент с elementary-data показал еще более изощренный сценарий. В этом случае злоумышленники применили инъекцию скриптов через комментарий в pull request для GitHub Actions. Прямой доступ к учетным данным maintainer не понадобился: один комментарий запустил легитимный CI-процесс, который в итоге выпустил вредоносный пакет, криптографически подписанный так, будто он был подлинным.

Компонент использовал механизм файлов .pth в Python, что позволяло ему запускаться при каждом старте любого интерпретатора Python. В результате компрометация охватывала множество систем без необходимости оставлять устойчивые артефакты на диске. Такая архитектура затрудняла обнаружение и обходила традиционные средства защиты, включая antivirus-решения.

Охота за секретами: AWS, файловые пути и шифрование

Особую опасность представляла вредоносная полезная нагрузка, рассчитанная на извлечение учетных данных различными способами. В частности, она обращалась к живым AWS API для сбора секретов из Secrets Manager и EC2 Metadata Service, расширяя угрозу далеко за пределы локального хранилища секретов.

Кроме того, нагрузка охватывала более 80 различных путей к файлам учетных данных по нескольким категориям, что существенно увеличивало потенциальную поверхность атаки.

Среди ключевых индикаторов компрометации аналитики выделяют:

• использование AES-256-GCM для шифрования полезной нагрузки;
• жестко закодированный public key в вредоносном коде;
• гибкую инфраструктуру C&C, способную быстро переключаться между доменами и методами эксфильтрации.

Подобная схема обеспечивала сохранение доступа к украденным учетным данным после эксплуатации и усложняла реакцию защитных систем.

Вывод: CI/CD остается одной из главных точек риска

Анализ этих инцидентов подчеркивает критическую необходимость строгих практик безопасности в CI/CD-процессах, особенно в части соблюдения принципа наименьших привилегий. Атаки, использующие доверенные рабочие процессы, показывают, насколько сложной остается защита от Supply chain attack и как устойчиво злоумышленники продолжают делать ставку на кражу учетных данных как на наиболее ценную цель.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "TeamPCP атакует цепочку поставок через CI/CD и крадет учетные данные".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: MAX | VK | Rutube | Telegram | Дзен | YouTube.