Descrizione
CSIRT Umbria, nell’esercizio delle sue funzioni, è venuto a conoscenza di una complessa campagna di attacco alla supply chain condotta dal gruppo denominato TeamPCP.
Di seguito sono riportati i dettagli salienti dell'offensiva:
- Compromissione di Trivy (Aqua Security): Il 19 marzo 2026, il gruppo ha sfruttato credenziali sottratte in un precedente breach per infettare lo scanner Trivy (release v0.69.4). L'attacco ha incluso l'iniezione di un infostealer e la sovrascrittura forzata di numerosi tag su GitHub Actions, come trivy-action e setuptrivy.
- Diffusione tramite Canister Worm: È stato identificato un worm auto-propagante, denominato Canister Worm, che ha inizialmente colpito 47 pacchetti NPM (in particolare negli scope @EmilGroup e @opengov). Il worm utilizza un'architettura a tre stadi:
- Un loader Node.js.
- Una backdoor Python persistente tramite systemd.
- Un server di comando e controllo (C2) decentralizzato su ICP canister.
- Capacità distruttive e movimento laterale: Dal 22 marzo, il payload kamikaze.sh ha iniziato a eseguire operazioni distruttive: sui cluster Kubernetes distribuisce un DaemonSet (host-provisioner) che cancella il filesystem dei nodi, mentre sui sistemi non-Kubernetes esegue una cancellazione ricorsiva. Il worm è inoltre in grado di muoversi lateralmente tramite il furto di chiavi SSH e lo sfruttamento di API Docker esposte.
- Estensione a Checkmarx e Open VSX: Il 23 marzo, la campagna si è estesa a Checkmarx, colpendo le GitHub Actions checkmarx/ast-github-action e checkmarx/kics-github-action, e pubblicando versioni trojanizzate delle estensioni Open VSX ast-results e cx-dev-assist.
- Indicatori di Compromissione (IoC):
-
- Domini/IP di esfiltrazione: scan.aquasecurtiy[.]org (IP 45.148.10.212) e checkmarx[.]zone (IP 83.142.209[.]11).
- C2 decentralizzato: tdtqy-oyaaa-aaaae-af2dq-cai.raw.icp0.io.
- Kill switch: Il worm interrompe l'esecuzione se l'URL del payload contiene youtube[.]com.
Indicazioni di Sicurezza: viene raccomandata massima cautela nel trattare email sospette e di non cliccare sui link presenti nelle segnalazioni. Si raccomanda inoltre di limitare la divulgazione di queste informazioni esclusivamente alla Constituency di codesto CSIRT.
