TeamPCP griff EU und Cisco an Massive Supply-Chain-Angriffe über Trivy-Tool und Telnyx-PyPI

Die Hackergruppe TeamPCP verfolgt ein klares Muster: Sie greift gezielt KI-Entwicklungswerkzeuge an und sorgt damit für Supply-Chain-Angriffe im großen Stil. In kurzer Zeit hat die Gruppe zwei große Angriffswellen über Trivy und Telnyx gestartet und will die Betroffenen mit Ransomware er­pressen.

Zwischen Februar und März 2026 führte die bis dato noch recht unbekannte Hackergruppe „Team­PCP“ eine Angriffskampagne durch, die weitreichende Folgen haben und die Gruppe welt­weit bekannt machen sollte. Wie unter anderem die Sicherheitsforscher von Palo Alto Networks berichten, begann die Gruppe damit, mithilfe des Open-Source-Schwach­stel­len­scanners Trivy von Aqua Security KI-bezogene Bibliotheken in den Ökosystemen NPM, PyPI, Go, OpenVSX sowie auf GitHub anzugreifen. Besonders der Angriff auf das LiteLLM-PyPI-Paket hatte dra­ma­ti­sche Cyberangriffe zur Folge. Dabei handelt es sich um ein Open Source Python-Toolkit. Es bietet Entwicklern eine Schnittstelle zu verschiedenen Large Language Models (LLM).

„TGR-STA-1030“

Palo Alto Networks enttarnt neue Cyberspionage-Gruppe

Kurz darauf wurde auch das offizielle Pyhton-SDK (Software Development Kit) von Telnyx als betroffen gemeldet, wobei hier im Unterschied zu den Trivy‑Vorfällen offenbar nicht das Scan­ner‑Tool selbst ausgenutzt wurde, sondern die Angreifer gestohlene Publishing‑ und Main­tai­ner‑Credentials aus dem LiteLLM‑Kompromittierung verwendeten, um die bösartigen Telnyx­Versionen direkt auf PyPI hochzuladen. Telnyx ist eine Cloud-basierte Sprachlösung, die her­kömm­liche Telefonanrufe direkt über respond.io ermöglicht. Die Python-Bibliothek wurde im vergangenen Monat rund 650.000Mal heruntergeladen. Konkret wurden zwei manipulierte Versionen des PyPI-Repository veröffentlicht, die mittlerweile unter Quarantäne gestellt wurden.

Wie die Sicherheitsforscher von JFrog berichten, seien beide Kompromittierungen TeamPCP zuzuordnen. Eindeutiger Beweis sei der identische öffentliche RSA-4096-Schlüssel. Auch die Exfiltrationslogik sei nahezu identisch und lediglich die Namen der eingerichteten Sys­tem­dienste würden sich unterscheiden, „sysmon“ bei LiteLLM, „audiomon“ bei Telnyx.

Update: Neue Variante des Shai-Hulud Worm

Supply-Chain-Angriff trifft über 1.000 npm-Pakete

Das Ausmaß der Lieferketten-Angriffe

Unter anderem hatten die Sicherheitsforscher von JFrog über die Vorfälle berichtet. Parallel haben Einzelpersonen und Forschungsunternehmen auf die Lieferkettenangriffe hingewiesen, was das enorme Ausmaß verdeutlicht.

Aqua selbst berichtete, dass Cyberkriminelle am 19. März 2026 Zugangsdaten kom­pro­mit­tier­ten, um schädliche Versionen und Actions des Trivy-Scanners zu veröffentlichen. Die Version 0.69.4 sowie die Actions „trivy-action“ und „setup-trivy“ wurden manipuliert, was Tausende von CI/CD-Workflows und Cloud-Umgebungen gefährden könnte. Für den Erstzugriff hatten die Akteure eine Fehlkonfiguration in der GitHub Actions-Umgebung von Trivy ausgenutzt. Da­durch konnten sie ein privilegiertes Zugriffstoken erlangen und sich so Zugang zu den Auto­ma­ti­sier­ungs- und Release-Prozessen des Repositorys verschaffen. Noch am selben Tag sei Aqua in der Lage gewesen, den Angriff zu isolieren und die schädlichen Dateien aus den Vertriebs­ka­nä­len zu entfernen.

Supply-Chain-Security im Fokus

Lehren aus dem npm-Supply-Chain-Angriff

Eine Woche später, am 27. März 2026, wurden JFrog nach die bösartigen Versionen von Telnyx – 4.87.1 und 4.87.2 – hochgeladen. Sie hätten Schadcode enthalten, der den genannten früheren Angriffen von TeamPCP über Trivy geähnelt habe. Die Schadsoftware sei in die Datei „telnyx/_client.py“ eingefügt worden. Um die Aktivität als legitime Funktion des Pakets zu tarnen, hätten die Akteure die Schadsoftware in einer gültigen ringtone.wav-Datei ausgeliefert, die dem Zweck der Bibliothek als KI-Sprachagent entspricht. Das Schadpaket habe die gültige WAV-Datei her­untergeladen, die schädlich kodierte Schadsoftware aus den Audio-Frames extrahiert und ausgeführt.

Nachdem die Analysten von JFrog sich die schädliche Payload genauer angesehen haben, stellten sie zwei relevante Punkte fest:

• 1. Die Payload-URLs, zum Beispiel „hxxp[://]83[.]142[.]209[.]203[:]8080/ringtone[.]wav“, würden ein unsicheres HTTP-Protokoll verwenden und direkt auf IP-Adressen anstatt auf Domains zugreifen.

• 2. Der schädliche Telnyx-Code überprüfe die heruntergeladene WAV-Datei vor der Ausführung nicht.

Dies bedeute, dass Man-in-the-Middle-Angreifer (MitM) diese Anfragen abfangen könnten. Nicht nur Akteure von TeamPCP seien also in der Lage, auf Anfragen mit einer eigenen, mani­pulierten ringtone.wav-Datei im korrekten Format zu antworten, sondern auch andere Cyber­kri­minelle. Somit besteht weiterhin ein Risiko für Nutzer von Telnyx PyPI, obwohl die mani­pu­lier­ten Versionen isoliert wurden, da bereits Kopien der bösartigen Releases in lokalen Caches, CI‑Builds oder Images vorhanden sein können und die Nachstufe ungesichert per HTTP nach­geladen werden kann, sodass auch Dritte die Infektion auslösen könnten.

Gefährdete npm-Pakete

Kritische Sicherheitslücken in AdonisJS und jsPDF

Wer steckt hinter TeamPCP?

Palo Alto Networks zufolge ist TeamPCP auch unter den Namen „PCPcat“, „ShellForce“ und „DeadCatx3“ bekannt und ist seit mindestens September 2025 aktiv. Die Analysten gehen davon aus, dass TeamPCP hinter der React2Shell-Kampagne steckt, die im Dezember 2025 für Auf­sehen sorgte. Zudem soll die Gruppe auch hinter dem jüngsten Cyberangriff auf die EU-Kom­mis­sion stecken, bei dem 350 Gigabyte an Daten gestohlen wurden. In beiden Fällen nah­men die Hacker Cloud-Umgebungen ins Visier.

Kritische React2Shell-Schwachstelle wird aktiv ausgenutzt

CVE-2025-55182 öffnet React Server Components für Linux-Backdoors

Das Ziel von TeamPCP ist es, Zugangsdaten zu kompromittieren und datensammelnde Info­stealer-Malware einzuschleusen. Dann will die Gruppe die Systeme verschlüsseln und die Betroffenen erpressen. Den Sicherheitsforschern von Socket zufolge, arbeitet TeamPCP dafür mittlerweile mit einem Ransomware-Akteur namens „Vect“ zusammen. Die Akteure hätten angekündigt, Ransomware in allen Unternehmen zu verbreiten, die von den Trivy- und Telnyx-Angriffen betroffen sind.

Update: Erneute massive Attacke

EU-Kommission bestätigt schweren Cyberangriff

Schutzmaßnahmen

Die erste Maßnahme zu Schutz von Lieferkettenangriffen solcher Art sollte es sein, die schäd­lichen Pakete zu entfernen. Im Falle von Trivy sind dies die Version 0.69.4 sowie die Actions trivy-action und setup-trivy. Im Falle von Telnyx sind dies die Versionen „telnyx==4.87.1“ und „telnyx==4.87.2“.

Die Forscher von JFrog haben konkrete folgende Maßnahmen für Unternehmen und Entwickler bereitgestellt, die besorgt sind, von dem Supply-Chain-Angriff über Telnyx betroffen zu sein:

• Überprüfen Sie, ob Sie die infizierten Versionen „telnyx==4.87.1“ oder „telnyx==4.87.2“ installiert haben, mit dem Befehl „pip show telnyx“. Deinstallieren Sie die Pakete umgehend mit „pip uninstall telnyx“.

• Installieren Sie eine saubere Version mit „pip install telnyx==4.87.0“.

• Blockieren Sie jegliche Kommunikation über C2-Adressen.

• Widerrufen und rotieren Sie alle offengelegten Anmeldeinformationen. Sie sollten davon ausgehen, dass alle auf dem lokalen Rechner gespeicherten Daten, einschließlich der „.env“-Datei und anderer Anmeldeinformationen, kompromittiert sind.

• Suchen Sie nach weiteren Kompromittierungs-Spuren, indem Sie unter Windows über­prüfen, ob die Malware-Payload auf der Festplatte vorhanden ist, unter „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe“

Für Trivy-User gibt es ebenfalls genaue Handlungsempfehlungen und Indicators of Compromise:

• Prüfen Sie, ob Sie die anfällige Version 0.69.4 oder eine der Actions trivy-action oder setup-triv verwenden und entfernen Sie diese.

• Installieren Sie eine der sicheren Versionen v0.69.2 bis v0.69.3 für Trivy binary, v0.35.0 für trivy-action und v0.2.6 für setup-trivy.

• Entfernen und ersetzen Sie kompromittierte Artefakte.

• Nehmen Sie an, dass Ihre Secrets kompromittiert sind unn Rotieren Sie alle Secrets.

• Überprüfen Sie alle Workflows, die „aquasecurity/trivy-action“ oder „aquasecurity/setup-trivy“ verwenden. Prüfen Sie die Workflow-Ausführungsprotokolle vom 19. bis 20. März 2026 auf Anzeichen einer Kompromittierung. Überprüfen Sie außerdem alle Workflows, die auf „aquasecurity/kics-github-action“ verweisen. Diese Repository war am 23. März von einer ähnlichen Kompromittierung betroffen.

• Suchen Sie in Ihrer GitHub-Organisation nach Repositories mit dem Namen „tpcp-docs“. Das Vorhandensein eines solchen Repositorys kann auf eine erfolgreiche Exfiltration über den Fallback-Mechanismus hindeuten.

• Auf Entwicklerrechnern, auf denen die schädliche Trivy-Datei möglicherweise ausgeführt wurde, überprüfen Sie das Verzeichnis „~/.config/systemd/user/sysmon.py“ und die zu­ge­hörigen „systemd“-Benutzerdateien auf den Persistenz-Dropper. Entfernen Sie diesen umgehend, falls er gefunden wird.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

(ID:50807533)