Der Anbieter von Lösungen für digitale Risiken, CloudSek, hat eine Liste der Organisationen veröffentlicht, die von einer vielbeachteten Kampagne von TeamPCP betroffen sind.

TeamPCP ist ein Cyberkrimineller, der sich auf Angriffe auf die Lieferkette spezialisiert hat und dem die Malware „Shai Hulud“ sowie deren Varianten zugeschrieben werden.

In dieser jüngsten Veröffentlichung wird TeamPCP verdächtigt, eine neue Malware-Variante namens SANDCLOCK einzusetzen, bei der es sich ebenfalls um einen Informationsdieb handelt, der über Funktionen zum Ausbrechen aus Containern, zum Sammeln von Anmeldedaten und zur Verschlüsselung während der Übertragung verfügt. Interessanterweise versucht die Malware, die gesammelten Anmeldedaten an einen Command-and-Control-Kanal zu senden; sollte dies jedoch fehlschlagen, erstellt die Malware ein Repository innerhalb des GitHub-Repositorys und veröffentlicht so den Angriff.

Durch die Suche nach GitHub-Repositorys, die von der Malware erstellt wurden, hat Cloudsek eine öffentliche Liste betroffener Organisationen erstellt, die etwa 2.500 Organisationen umfasst.

Der Angriff zielt speziell darauf ab, CICD-Pipelines zu kompromittieren. Viele der betroffenen Unternehmen gehören zu den Early Adopters im Bereich KI, was das inhärente Risiko komplexer, moderner CICD-Bereitstellungen verdeutlicht, die auf Hunderten oder Tausenden von Open-Source-Softwarepaketen basieren.

Unternehmen werden dazu angehalten, ihre CICD-Pipeline-Praktiken zu überprüfen, den von ihnen verwendeten Code auf bösartige Komponenten zu überwachen und die Angriffsfläche zu verringern.

Zu den von diesem Vorfall betroffenen Zugangsdaten gehören:

AWS-Anmeldedaten

Azure-Anmeldedaten

OpenAI-API-Schlüssel
Kubernetes-Service-Account-Token
Lokale Umgebungsvariablen
Daten von Kryptowährungs-Wallets

Cloud-Anmeldedaten
Alle API-Token
SSH-Schlüssel

Wenn Sie glauben, dass Ihr Unternehmen von diesem Vorfall betroffen sein könnte, oder wenn Sie Bedenken hinsichtlich des Risikos für eine CI/CD-Pipeline in Ihrer Entwicklungsumgebung haben, wenden Sie sich bitte an Integrity360, um Unterstützung zu erhalten. Unternehmen, die in der Liste der betroffenen Organisationen aufgeführt sind, sollten sich so schnell wie möglich an das Incident-Response-Team von Integrity360 wenden.