برت ای. لدرمن، مدیر دستیار بخش سایبری FBI، در بیانیه‌ای مشترک با رسانه‌ها گفت این دو مرد ادعا می‌شود عضو TeamPCP هستند؛ گروهی که کد مخرب آن «به‌طور بالقوه بیش از هزار سازمان را در سراسر جهان تحت تأثیر قرار داده است». مرد اهل کاتزلو، ۲۱ ساله، به یک فقره در اختیار داشتن داده با قصد ارتکاب جرم رایانه‌ای، چهار فقره تغییر غیرمجاز داده با قصد ارتکاب جرم جدی، یک فقره عرضه داده با قصد ارتکاب جرم رایانه‌ای، یک فقره تخلف از دستور مطابق ماده ۳LA، و یک فقره معامله با عواید حاصل از جرم به ارزش ۱۰۰ هزار دلار یا بیشتر متهم شده است. مرد اهل ماندورا، ۲۳ ساله، نیز به یک فقره در اختیار داشتن داده با قصد مجرمانه، چهار فقره تغییر غیرمجاز داده با قصد ارتکاب جرم جدی، و یک فقره عرضه داده با قصد ارتکاب جرم رایانه‌ای متهم شده است. اتهام مربوط به ماده ۳LA که بر اساس قانون جرائم سال ۱۹۱۴ (Cth) مطرح شده، حداکثر مجازات ۱۰ سال حبس و اتهام عواید جرم حداکثر ۲۰ سال حبس در پی دارد. هیچ‌یک از ۱۴ اتهام مطرح‌شده، پروژه خاص آسیب‌دیده را نام نبرده است.
این باند با سرقت اعتبارنامه‌های انتشار از پروژه‌های متن‌باز معتبر، نسخه‌های آلوده را از طریق کانال‌های انتشار خودِ همان پروژه‌ها توزیع می‌کرد. این کارزار پنج زیست‌بوم توزیع شامل GitHub Actions، Docker Hub، npm، PyPI و OpenVSX را دربر می‌گرفت و نفوذ به هر پروژه، اعتبارنامه‌های لازم برای حمله به پروژه بعدی را فراهم می‌کرد؛ برای نمونه، اعتبارنامه‌های سرقت‌شده از Trivy چند روز بعد علیه Checkmarx KICS به کار گرفته شدند و از آنجا که خط تولید LiteLLM نسخه تأییدشده‌ای از Trivy را مشخص نکرده بود، اسکنر آلوده توانست توکن انتشار این پروژه را نیز برباید و نسخه‌های درپشتی‌دار LiteLLM را در اواخر مارس منتشر کند. به گفته AFP، این کد مخرب به‌طور بالقوه بیش از ۱۰۰۰ سازمان را در سطح جهانی تحت تأثیر قرار داده، به سرقت بیش از ۵۰۰ هزار اعتبارنامه انجامیده و منجر به خروج غیرمجاز دست‌کم ۳۰۰ گیگابایت داده شده است؛ ارقامی که پیش‌تر در ماه مارس نیز توسط واحد ۴۲ (Unit 42) با احتیاط به‌عنوان برآورد اعلام شده بود.
شرکت‌های CloudSEK و Hudson Rock در ماه اوت ارقام تازه‌ای از میزان افشا در همین کارزار منتشر کردند: CloudSEK میزان بازسازی‌شده افشا را بیش از ۲۵۰۰ سازمان و حدود ۴۳۴ هزار خط تولید CI/CD برآورد کرد، در حالی که Hudson Rock با استناد به آرشیوی ۱۵۳ گیگابایتی از داده‌های به‌سرقت‌رفته مهاجمان، ۱۱۸٬۸۲۹ مورد خروجی اجراکننده CI (CI runner) را به ۲۴۸۸ دامنه سازمانی نسبت داد. CloudSEK تأکید کرد سرقت اعتبارنامه به معنای نفوذ موفق به شرکت نیست و تعداد قربانیان تأییدشده تنها ۱۶ سازمانی است که TeamPCP تا اواخر مارس در سایت افشاگری خود منتشر کرده بود. شرکت StepSecurity نیز در تحلیل داده‌های CloudSEK گزارش داد پلتفرم GitLab با ۱۰۶۴ سازمان بیشترین آسیب را دیده، و پس از آن GitHub Actions با ۶۱۸، Azure DevOps با ۲۳۳، Jenkins با ۱۰۵، Bitbucket Pipelines با ۹۴ و CircleCI با ۱۵ سازمان قرار دارند.
بر اساس گزارشی از Oligo Security در ۵ اوت، زیرساخت‌های مرتبط با TeamPCP به سال ۲۰۲۰ بازمی‌گردد و این گروه از طریق دامنه‌های مشترک، مسیرهای استقرار بدافزار و زیرساخت پشتیبان با فعالیت‌هایی که پیش‌تر با نام‌های TA-NATALSTATUS و IronErn ردیابی شده بودند، پیوند دارد؛ هرچند به گفته Oligo، این ارتباط ممکن است بازنام‌گذاری یک گروه، اشتراک اپراتورها یا همکاری میان بازیگران وابسته باشد و «با قطعیت صددرصد قابل تعیین نیست». این گروه در ۱۲ مه ۲۰۲۶ چارچوب کرم مورد استفاده در کارزار Mini Shai-Hulud را به‌صورت متن‌باز در GitHub منتشر کرد و موجی تازه از حملات npm با همان ابزار در ۴ اوت ۲۰۲۶ بسته‌های keyv و cacheable را آلوده کرد. هشدار FBI نام مخازن tpcp-docs و docs-tpcp را که کرم مذکور با استفاده از اعتبارنامه‌های سرقتی ایجاد می‌کند، فهرست کرده و به سازمان‌ها توصیه کرده در جست‌وجوی این نام‌ها باشند و تمام گردش‌کارهای GitHub Actions را به هش‌های commit SHA تأییدشده متصل کنند، نه برچسب‌های نسخه شناور.
کلمات کلیدی : TeamPCP, حمله زنجیره تأمین نرم‌افزار, سرقت اعتبارنامه CI/CD, پلیس فدرال استرالیا, آلودگی بسته‌های متن‌باز, هشدار FBI درباره بدافزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.