Campanha TeamPCP Supply Chain: Atualização 003

Esta é a terceira atualização do relatório de inteligência de ameaças da campanha da cadeia de suprimentos do TeamPCP, “Quando o scanner de segurança se tornou a arma” (v3.0, 25 de março de 2026). A atualização 002 cobriu os desenvolvimentos até 27 de março, incluindo o compromisso Telnyx PyPI e a parceria com o ransomware Vect. Esta atualização cobre os desenvolvimentos de 27 a 28 de março de 2026.

ALTO: Primeira janela de 48 horas sem um novo compromisso na cadeia de suprimentos

O desenvolvimento operacionalmente mais significativo nas últimas 24 horas é o que não aconteceu: nenhum novo compromisso de pacote foi confirmado desde a divulgação da Telnyx em 27 de março. Esta é a primeira janela de 48 horas sem um novo compromisso de ecossistema desde que o TeamPCP iniciou operações ativas em 19 de março.

A cadência operacional anterior era agressiva – um novo alvo a cada 1-3 dias (Trivy 19 de março, CanisterWorm 20-22 de março, Checkmarx 23 de março, LiteLLM 24 de março, Telnyx 27 de março). A pausa atual, combinada com o anúncio da afiliada do ransomware Vect, sugere que o TeamPCP mudou o foco operacional principal da expansão da cadeia de suprimentos para a monetização das colheitas de credenciais existentes.

Os analistas avaliam que esta pausa não deve ser interpretada como o fim das operações da cadeia de abastecimento. O TeamPCP declarou explicitamente que pretende “estar presente por um longo tempo”, e as credenciais roubadas do tesouro estimado de 300 GB podem permitir futuros comprometimentos de pacotes a qualquer momento. A ausência de novos compromissos também pode refletir uma melhor vigilância por parte dos registros de pacotes – o PyPI colocou em quarentena duas campanhas do TeamPCP em rápida sucessão, o que pode estar aumentando o custo das operações do invasor nessa plataforma.

Ação recomendada: Mantenha uma postura de monitoramento elevada. Use esta janela operacional para concluir rotações de credenciais e varreduras de IOC, caso ainda não tenham sido feitas. Faltam 11 dias para o prazo de remediação CISA KEV para CVE-2026-33634 (8 de abril de 2026).

ALTO: Palo Alto Networks publica regras de detecção comportamental para ataques de pipeline de CI/CD

Redes Palo Alto publicou regras de detecção projetadas especificamente para identificar ataques de pipeline CI/CD estilo TeamPCP no nível comportamental, em vez de depender apenas da correspondência IOC. Isso é significativo porque o TeamPCP demonstrou a capacidade de alternar a infraestrutura em cada nova onda de comprometimento – cada fase usou diferentes domínios C2, diferentes pontos de extremidade de exfiltração e diferentes técnicas de empacotamento (scripts brutos, worm npm, exploração .pth, esteganografia WAV).

As abordagens de detecção comportamental concentram-se no comportamento anômalo do executor de CI/CD: enumeração inesperada de diretórios de credenciais, leituras secretas em massa de /proc//memcriação de grandes arquivos criptografados e transferências de dados de saída para domínios recém-registrados durante a execução do fluxo de trabalho. Esses padrões têm sido consistentes em todas as cinco fases de compromisso do TeamPCP, mesmo com a mudança de IOCs específicos.

Ação recomendada: As organizações com produtos de segurança da Palo Alto Networks devem revisar e implantar as regras de detecção publicadas. Todas as organizações devem avaliar se seu monitoramento de CI/CD pode detectar os padrões de comportamento descritos – leituras de memória de processo de Runner.Worker, criação de tpcp.tar.gz ou arquivos com nomes semelhantes e HTTPS de saída para domínios registrados nos últimos 30 dias.

MEDIUM: Cloud Security Alliance publica análise do Kubernetes Wiper Lab

O Aliança de segurança em nuvem publicou uma análise de laboratório detalhada do componente limpador Kubernetes do TeamPCP – o DaemonSet direcionado ao Irã que exclui todo o conteúdo do sistema de arquivos host quando as configurações do idioma farsi são detectadas. A análise reconstrói o mecanismo de implantação do limpador e fornece consultas de detecção para logs de auditoria do Kubernetes.

Esse componente foi mencionado no relatório pai, mas recebeu menos atenção do que as cargas úteis de roubo de credenciais. A análise CSA fornece o primeiro manual defensivo detalhado especificamente para o Wiper TTP, incluindo políticas de controlador de admissão do Kubernetes que bloqueariam o padrão de implantação privilegiado do DaemonSet.

Ação recomendada: Os operadores de Kubernetes devem revisar a análise CSA e implementar políticas de controlador de admissão que impeçam DaemonSets privilegiados de montar hostPath / com acesso de gravação. Esta é uma boa higiene, independentemente da exposição do TeamPCP.

MÉDIO: Mapas de análise quantitativa do GitGuardian Raio de explosão de exposição de credenciais

GitGuardian publicou uma análise quantitativa do “efeito bola de neve” que rastreia como um único token comprometido se espalhava pelos ecossistemas. A análise mapeia o fator de amplificação em cada estágio: um PAT roubado levou a mais de 76 tags GitHub Action envenenadas, que coletaram credenciais de centenas de pipelines de CI/CD, o que permitiu o comprometimento de pacotes com mais de 100 milhões de downloads mensais combinados.

A análise introduz uma métrica que eles chamam de “distribuição de credenciais” – a proporção de credenciais roubadas em relação às credenciais usadas para acesso inicial. Para o TeamPCP, essa proporção é estimada em mais de 10.000:1, o que significa que cada credencial comprometida expõe potencialmente milhares de segredos downstream. Este enquadramento quantitativo é útil para comunicar riscos às partes interessadas executivas que precisam de compreender porque é que um único compromisso na cadeia de abastecimento requer rotação de credenciais em toda a organização.

INFO: Publicada análise profunda da técnica de exfiltração baseada em repositório GitHub

Eu publiquei um análise detalhada da nova técnica de exfiltração de dados baseada em repositório GitHub do TeamPCP. A postagem examina como a campanha usou a API GitHub Releases como um canal alternativo de exfiltração – criando programaticamente repositórios na própria conta da vítima e carregando dados roubados como ativos de lançamento. Essa técnica é significativa porque firewalls corporativos e soluções DLP que colocam na lista branca api.github.com o tráfego não consegue distinguir essa exfiltração do uso legítimo da API GitHub. A análise inclui controles organizacionais, permutações alternativas de ataques e consultas de caça a ameaças.

INFORMAÇÕES: Alegação de violação da AstraZeneca permanece não confirmada em 48 horas

A alegada violação de 3 GB da AstraZeneca do LAPSUS$ (relatada na atualização 002) permanece não confirmada. Assuntos de Segurança caracterizou a alegação como “potencialmente um dos incidentes cibernéticos de saúde mais graves deste ano”, se verificada. A AstraZeneca não emitiu uma declaração pública confirmando ou negando a violação em 28 de março de 2026. Nenhuma reivindicação adicional de vítima nomeada foi divulgada nas últimas 24 horas, embora a distribuição do programa de afiliados Vect possa mudar o modelo de extorsão de operações centralizadas TeamPCP/LAPSUS$ para campanhas distribuídas dirigidas por afiliados que são mais difíceis de rastrear.

Assistir o status do item

Itens de observação atualizados

• Primeira implantação confirmada do ransomware Vect usando credenciais fornecidas pelo TeamPCP – este é o indicador de maior prioridade da próxima fase da campanha
• Divulgações adicionais de vítimas nomeadas além da AstraZeneca – o modelo de afiliado distribuído pode produzir reclamações de vários atores simultaneamente
• Ação de aplicação da lei – 10 dias após o início de uma campanha ativa que afeta os sistemas federais, sem resposta da aplicação da lei
• Varredura proativa em nível de registro PyPI e npm – ambos os registros responderam apenas de forma reativa (colocando pacotes em quarentena após divulgação); um anúncio de verificação proativa de pacotes maliciosos ou requisitos de assinatura sinalizaria uma mudança significativa na postura de defesa da cadeia de suprimentos
• Cumprimento do prazo CISA KEV (8 de abril de 2026) – 11 dias restantes

O relatório completo da campanha está disponível em sans.org/white-papers/when-security-scanner-became-weapon. Um replay do SANS Emergency Webcast está disponível em sans.org/webcasts/when-security-scanner-became-weapon. As atualizações do relatório serão feitas na forma destes diários do ISC.