Otros dos flujos de trabajo de GitHub Actions se han convertido en los últimos en verse comprometidos por un malware que roba credenciales por parte de un actor de amenazas conocido como TeamPCP, la operación ciberdelictiva nativa de la nube que también está detrás del Trivy: ataque a la cadena de suministro .

Los flujos de trabajo, ambos mantenidos por la empresa de seguridad de la cadena de suministro Checkmarx, se enumeran a continuación:

La empresa de seguridad en la nube Sysdig dijo que había observado un ladrón de credenciales idéntico al utilizado en las operaciones de TeamPCP contra el escáner de vulnerabilidades Trivy de Aqua Security y sus GitHub Actions asociadas, unos cuatro días después de la violación del 19 de marzo de 2026. La vulnerabilidad de la cadena de suministro de Try se está rastreando con el identificador CVE CVE-2026-33634 (Puntuación CVSS: 9,4).

«Esto sugiere que las credenciales robadas del compromiso de Trivy se utilizaron para envenenar otras acciones en los repositorios afectados», dijo Sysdig dijo .

El ladrón, denominado «ladrón de nube de TeamPCP», está diseñado para robar credenciales y secretos relacionados con claves SSH, Git, Amazon Web Services (AWS), Google Cloud, Microsoft Azure, Kubernetes, Docker, archivos.env, bases de datos y VPN, junto con configuraciones de CI/CD, datos de carteras de criptomonedas y URL de webhooks de Slack y Discord.

adsense

Al igual que en el caso de Trivy, se ha descubierto que los actores de amenazas envían etiquetas a las confirmaciones maliciosas que contienen la carga útil del ladrón (» setup.sh «). Los datos robados se filtran al dominio «checkmarx [.] zone» (dirección IP: 83.142.209 [.] 11:443) en forma de archivo cifrado (» tpcp.tar.gz «).

La nueva versión crea un repositorio «docs-tpcp» utilizando el GITHUB_TOKEN de la víctima para almacenar los datos robados como método de respaldo si falla la exfiltración al servidor. En el incidente de Trivy, los atacantes usaron en su lugar el nombre del repositorio «tpcp-docs».

«El uso de dominios typosquat específicos del proveedor para cada acción envenenada es una técnica de engaño deliberada», dijo Sysdig. «Un analista que revise los registros de CI/CD observará que se reduce el tráfico a lo que parece ser el dominio del propio proveedor de la acción, lo que reduce la probabilidad de que se detecte manualmente».

El hecho de que la función principal del ladrón sea recopilar las credenciales de la memoria del corredor de CI permite a los operadores extraer los tokens de acceso personal (PAT) de GitHub y otros secretos cuando se ejecuta una acción de Trivy comprometida en un flujo de trabajo. Para empeorar las cosas, si esos tokens tienen acceso de escritura a repositorios que también utilizan acciones de Checkmarx, el atacante puede convertirlos en armas para enviar código malintencionado.

Esto, a su vez, abre la puerta a un compromiso en cascada en la cadena de suministro, en el que una acción envenenada captura secretos que se utilizan para facilitar el envenenamiento de otras acciones.

«La misma carga útil, esquema de cifrado y convención de nomenclatura de tpcp.tar.gz confirman que se trata del mismo actor de amenazas que amplía su alcance más allá del compromiso inicial de Trivy», señaló Sysdig. «En este caso, la revisión del código y el análisis de dependencias fallaron porque el código malintencionado se inyectó en el origen en una acción fiable».

Según Wiz, el ataque parece haberse llevado a cabo comprometiendo la cuenta de servicio «cx-plugins-releases», y los atacantes también publicar versiones troyanizadas de la» últimos resultados «(versión 2.53.0) y» cx-dev-assist «(versión 1.7.0) Abra las extensiones de VSX. Las versiones de VS Code Marketplace no se ven afectadas.

Una vez que se activa la extensión, la carga maliciosa comprueba si la víctima tiene credenciales de al menos un proveedor de servicios en la nube, como GitHub, AWS, Google Cloud y Microsoft Azure. Si se detecta alguna credencial, procede a buscar la siguiente carga útil del mismo dominio («checkmarx [.] zone»).

«La carga útil intenta ejecutarse mediante npx, bunx, pnpx o yarn dlx. Esto incluye a los principales gestores de paquetes de JavaScript», afirman los investigadores de Wiz Rami McCarthy, James Haughom y Benjamin Read dijo . «El paquete recuperado contiene un completo ladrón de credenciales. A continuación, las credenciales recopiladas se cifran, utilizando las claves como en otras partes de esta campaña, y se filtran a 'checkmarx [.] zone/vsx' como tpcp.tar.gz».

«En los sistemas que no son de CI, el malware instala la persistencia a través de un servicio de usuario de systemd. El script de persistencia consulta https://checkmarx[.]zone/raw cada 50 minutos en busca de cargas útiles adicionales, con una función de desconexión automática que se cancela si la respuesta contiene «youtube». Actualmente, el enlace redirige a «The Show Must Go On» de Queen».

enlaces

Para mitigar la amenaza, se recomienda a los usuarios que realicen las siguientes acciones con efecto inmediato:

  • Cambie todos los secretos, los tokens y las credenciales de nube a los que podían acceder los ejecutores de CI durante la ventana afectada.
  • Audite la ejecución del flujo de trabajo de GitHub Actions para detectar cualquier referencia a tpcp.tar.gz, scan.aquasecurity [.] org o checkmarx [.] zone en los registros de ejecución.
  • Busca en la organización de GitHub repositorios denominados «tpcp-docs» o «docs-tpcp», que indiquen que la exfiltración se ha realizado correctamente mediante el mecanismo de respaldo.
  • Fija las GitHub Actions a los SHA de confirmación completos en lugar de a las etiquetas de versión, ya que las etiquetas se pueden empujar a la fuerza.
  • Supervise las conexiones de red salientes desde los ejecutores de CI a los dominios sospechosos.
  • Restrinja el servicio de metadatos de instancias (IMDS) de los contenedores de ejecutores de CI mediante IMDSv2.

En los días posteriores a la violación inicial, los actores de TeamPCP han forzado Las imágenes maliciosas de Docker de Trivy contenían al mismo ladrón y secuestraron la organización GitHub «aquasec-com» de la empresa para manipular docenas de repositorios internos.

También se ha observado que atacan clústeres de Kubernetes con un script de shell malicioso que borra todas las máquinas cuando detecta sistemas que coinciden con la zona horaria y la ubicación iraníes, lo que pone de manifiesto una nueva escalada del modus operandi del grupo.

¿Te ha parecido interesante este artículo? Síguenos en Noticias de Google , Twitter y LinkedIn para leer más contenido exclusivo que publicamos.