Google phát hiện nhóm TeamPCP từ bên trong chiến dịch tấn công chuỗi cung ứng
"Google Threat Intelligence Group said an undercover Mandiant analyst infiltrated the TeamPCP supply-chain hacking group early in its campaign, giving visibility into attacks that compromised open-source projects, stole developer credentials, and spread malware to more than a thousand organizations. The intelligence was used to warn victims and disrupt exploitation by revoking stolen credentials through providers such as AWS and Microsoft; no CVE was mentioned."
Tác động bảo mật rất cao do xâm nhập chuỗi cung ứng, đánh cắp thông tin xác thực và khả năng lan rộng sang nhiều tổ chức; cần xử lý khẩn các tài khoản và token bị ảnh hưởng.
Có thể gây gián đoạn phát triển phần mềm, vận hành hạ tầng và niềm tin vào chuỗi cung ứng; doanh nghiệp cần ưu tiên kiểm tra phụ thuộc và quy trình cấp quyền.
Google Threat Intelligence Group cho biết một nhà phân tích Mandiant đã thâm nhập vào TeamPCP ngay từ giai đoạn đầu của chiến dịch, giúp quan sát hoạt động của nhóm từ bên trong và hỗ trợ cảnh báo nạn nhân. Theo mô tả, nhóm này đã xâm nhập các dự án mã nguồn mở, đánh cắp thông tin đăng nhập của nhà phát triển và phát tán mã độc tới hơn 1.000 tổ chức.
Nguồn tin nội bộ cho phép Google theo dõi cách TeamPCP tái sử dụng các tài khoản bị chiếm đoạt để mở rộng tấn công chuỗi cung ứng. Google sau đó đã phối hợp với các nhà cung cấp dịch vụ như AWS và Microsoft để thu hồi hoặc vô hiệu hóa thông tin xác thực bị đánh cắp, nhằm ngăn việc lạm dụng tiếp theo. Bài viết không đề cập đến CVE cụ thể.
Với các đội kỹ thuật, ưu tiên hiện nay là xoay vòng khóa và mật khẩu, kiểm tra token truy cập và tài khoản nhà phát triển, đồng thời rà soát các gói phụ thuộc, kho mã nguồn và pipeline CI/CD để phát hiện thay đổi bất thường. Do chiến dịch có tính lan truyền qua chuỗi cung ứng, cần tăng giám sát nhật ký, cảnh báo đăng nhập lạ và quy trình thu hồi quyền truy cập khi phát hiện rò rỉ.