26 августа в Западной Австралии были задержаны двое предполагаемых участников TeamPCP — группировки, связываемой с компрометацией открытых инструментов Aqua Security Trivy, Checkmarx KICS, шлюза для языковых моделей LiteLLM и официального Python SDK компании Telnyx. Злоумышленники подменяли версии пакетов, образы, расширения и GitHub Actions, после чего вредоносный код запускался внутри доверенных CI/CD-конвейеров, похищал облачные токены, SSH-ключи, секреты Kubernetes и другие учётные данные. Перечень затронутого ПО и применявшихся вредоносных программ ранее был официально опубликован ФБР.
Об операции сообщили Австралийская федеральная полиция, полиция штата Западная Австралия и ФБР. Во время обысков в Коттесло, Гамильтон-Хилл и Мандуре были изъяты электронные устройства и другие материалы, которые сейчас проходят криминалистическое исследование.
Австралийские власти официально не раскрыли имена обвиняемых, однако телерадиокомпания ABC назвала их: это 21-летний Рубен Иэн Томсон и 23-летний Луис Майкл Геблер. Представитель ФБР назвал Томсона предполагаемым руководителем TeamPCP. Оба предстали перед магистратским судом Перта 27 августа.
Следствие считает мужчин основными участниками организованной группы, занимавшейся проникновением в информационные системы, хищением идентификационных данных и отмыванием полученных в криптовалюте средств. На двоих им предъявлено 14 обвинений, в том числе в несанкционированном изменении данных, хранении и передаче информации для совершения компьютерных преступлений. Томсону также вменяются операции с преступными доходами на сумму не менее 100 тысяч австралийских долларов и отказ выполнить требование о предоставлении доступа к данным.
Параллельно Министерство юстиции США сообщило о федеральном обвинении против Томсона. По версии американского следствия, он вместе с сообщниками внедрял вредоносный код в доверенные инструменты защиты цепочек поставок ПО. Модифицированные компоненты затем попадали к клиентам разработчиков, сканировали их окружение, похищали найденные данные и обеспечивали постоянный доступ к скомпрометированным системам. После кражи информации участники группы требовали выкуп за отказ от её публикации.
Кампания TeamPCP развивалась как цепочка последовательных компрометаций, в которой секреты, украденные у одного проекта, использовались для атаки на следующий:
-
19 марта злоумышленники скомпрометировали систему выпуска Trivy — свободного сканера уязвимостей контейнеров, файловых систем и репозиториев. По данным расследования Aqua Security, атакующие опубликовали вредоносную версию Trivy 0.69.4, перенаправили на вредоносные коммиты 76 из 77 тегов репозитория aquasecurity/trivy-action и заменили все семь тегов aquasecurity/setup-trivy.
-
Полученные во время атаки учётные данные позволили проникнуть в GitHub-окружение Checkmarx. Компания подтвердила публикацию вредоносного кода в двух расширениях OpenVSX, двух GitHub Actions, образах KICS, расширениях для VS Code и плагине Jenkins. Позднее похищенные из GitHub-репозиториев Checkmarx данные были опубликованы в даркнете.
-
24 марта через скомпрометированную учётную запись PyPI были опубликованы вредоносные выпуски LiteLLM 1.82.7 и 1.82.8. Как сообщили разработчики LiteLLM, пакеты собирали переменные окружения, облачные учётные данные, SSH-ключи, конфигурацию Kubernetes, пароли баз данных, закрытые ключи и данные криптовалютных кошельков. В версии 1.82.8 использовался файл litellm_init.pth, благодаря которому код запускался при любом старте интерпретатора Python, даже если приложение не импортировало LiteLLM.
-
27 марта в PyPI появились вредоносные версии официального Telnyx Python SDK 4.87.1 и 4.87.2. Согласно уведомлению Telnyx, пакеты оставались доступными примерно шесть часов, после чего были помещены в карантин. Инфраструктура и API самой Telnyx при этом скомпрометированы не были.
ФБР также связывает TeamPCP с вредоносными программами CanisterWorm, SANDCLOCK, Mini Shai-Hulud и Miasma. Некоторые из них способны не только красть секреты, но и самостоятельно распространяться между пакетами npm и PyPI, используя обнаруженные токены публикации. В результате заражённый CI/CD-конвейер мог превращаться в новую точку распространения атаки.
Вектором атаки была не открытость исходного кода как таковая, а компрометация учётных записей сопровождающих, CI/CD-конвейеров и каналов распространения. Подменённые компоненты публиковались от имени настоящих проектов и могли загружаться по привычным тегам и адресам. В случае Trivy злоумышленники, например, переместили уже существовавшие теги GitHub Actions на другие коммиты, из-за чего вредоносный код получали и проекты, не менявшие свои конфигурационные файлы.
По оценке австралийской полиции, вредоносный код TeamPCP мог затронуть более тысячи организаций из государственного, академического и частного секторов. Следствие говорит о похищении более 500 тысяч учётных данных и не менее 300 ГБ информации. Совокупные затраты организаций на расследование и восстановление оцениваются в сотни миллионов долларов.
В июльском предупреждении ФБР отмечалось, что украденные данные сохраняют ценность и после прекращения первоначальной атаки: TeamPCP могла передавать доступ другим преступным группировкам. Владельцам потенциально затронутой инфраструктуры рекомендовано:
- привязывать GitHub Actions к проверенным SHA-хешам коммитов, а не к изменяемым тегам и веткам;
- заменить все CI/CD-секреты, токены публикации и облачные учётные данные, доступные во время атаки;
- проверить организации GitHub на наличие созданных червём репозиториев
tpcp-docs и docs-tpcp;
- ограничить права сервисных учётных записей и токенов отдельными репозиториями;
- включить устойчивую к фишингу многофакторную аутентификацию для сопровождающих пакетов;
- рассмотреть запрет автоматической установки пакетов, опубликованных менее нескольких дней назад.
Расследование началось в апреле после получения информации от нескольких компаний, занимающихся анализом киберугроз. Полиция не исключает новых задержаний и обвинений. Все изложенные правоохранительными органами сведения пока являются версией обвинения: виновность Томсона и Геблера судом не установлена.
Подробности: сообщение Австралийской федеральной полиции.
Перемещено dataman из security