TeamPCP está arrasando con el software de código abierto.
En menos de cuatro meses, el actor de amenazas comprometió e inyectó código malicioso en más de 1.000 paquetes de software. Esta extraordinaria oleada ha transformado la forma en que los desarrolladores y mantenedores de software distribuyen y administran su código, ya que sus dependencias y repositorios se han convertido en uno de los vectores de ataque más efectivos y frecuentes este año.
Si bien ha habido una serie de exploits técnicos, el mayor ataque de TeamPCP ha sido el desarraigo de la confianza, demostrando repetidamente que la mayoría de las organizaciones no verifican que el código que ingieren en sus sistemas sea legítimo, abusando de una fe casi ciega en la que depende gran parte de la industria de desarrollo de software para impulsar la economía moderna de hoy.
Comenzando con Trivy en febrero, los ataques de TeamPCP han sacudido esa confianza muchas veces.
La escala de los ataques de TeamPCP radica en parte en los sistemas automatizados que las empresas utilizan para implementar código, como los canales de CI/CD. También está aprovechando las nuevas brechas de seguridad creadas por la creciente dependencia de los desarrolladores de la IA. Sin embargo, con un esfuerzo relativamente bajo y tácticas poco originales, TeamPCP está destruyendo marcos de código abierto y sistemas subyacentes a niveles que la comunidad tecnológica rara vez ha tenido en cuenta.
«Los desarrolladores no hacían un gran trabajo analizando la seguridad de sus dependencias de código abierto antes, pero ahora con la IA, en algunos casos prácticamente no hay ningún ser humano en el circuito ni ningún tipo de control de cordura sobre lo que están haciendo estas herramientas», dijo a CyberScoop Feross Aboukhadijeh, fundador y director ejecutivo de Socket.
«Hay agentes que instalan paquetes que no han sido examinados», dijo. «Cuando un atacante ingresa, el impacto es aún mayor porque hay menos controles y contrapesos para evitar que afecte a todos».
TeamPCP no ha identificado un nuevo problema ni ha demostrado nada novedoso. El quid de estos ataques gira en torno a un tema central: las vulnerabilidades defensivas que toda la industria del software conoce desde hace años. Los investigadores y desarrolladores saben que el modelo de confianza del código abierto no funciona y es susceptible de sabotaje. Sin embargo, la industria del software no ha solucionado este problema.
«La velocidad y la escala de estos ataques es lo que los hace más notables, no necesariamente la metodología detrás de ellos, porque en esencia se trata de explotar la confianza de terceros que tenemos», dijo Kimberly Goody, gerente senior de Google Threat Intelligence Group.
Los paquetes de software suelen estar sujetos a una supervisión de seguridad intensiva para comprobar si hay vulnerabilidades y actualizaciones envenenadas antes de lanzarlos a entornos activos.
Sin embargo, la verdadera vulnerabilidad destacada por TeamPCP se encuentra más arriba en la cadena de mando con las organizaciones o individuos que publican estos paquetes en el mercado en general, según Nathaniel Quist, gerente de inteligencia de amenazas en la nube de Palo Alto Networks.
«Es su responsabilidad asegurar sus credenciales y no proporcionar un punto de partida para desencadenar un evento en la cadena de suministro», dijo. «Todo lo que interactúa con esa zona o la cruza debe ser altamente monitoreado y controlado para garantizar que un compromiso pueda contenerse rápida y fácilmente».
La motivación del TeamPCP
TeamPCP, como cualquier cibercriminal prolífico, ha captado una gran atención por parte de los cazadores de amenazas desde que surgió a finales de 2025. Google atribuye la actividad a un operador principal.
La compañía dijo que rastreó las conexiones de direcciones IP residenciales y móviles de TeamPCP hasta Sudáfrica, lo que indica que el operador principal estuvo ubicado allí durante al menos algunos de sus ataques.
«No creemos que exista un grupo central establecido, al menos no todavía, y que gran parte de esto ha sido realizado por un individuo», dijo Goody. Google se negó a nombrar al operador principal ni a confirmar que conoce la verdadera identidad de la persona.
Palo Alto Networks dijo que el administrador central de TeamPCP utiliza el identificador «ResoluteXBF» en múltiples plataformas. La firma de ciberseguridad también está rastreando a dos miembros principales adicionales: «diencracked» y «Shinigami».
Si TeamPCP está dirigido principalmente por una sola persona, las fuerzas del orden tienen una rara oportunidad de lograr un impacto duradero con un solo arresto.
TeamPCP ha colaborado con otros ciberdelincuentes, pero la mayoría de esas asociaciones duraron poco y terminaron en una disputa pública o no lograron despegar de manera significativa, dijo Goody.
Los investigadores han vinculado a TeamPCP con equipos de extorsión, foros de la web oscura y afiliados, incluidos Lapsus$, ShinyHunters, Vect, DragonForce, BreachForums y «HasanBroker». TeamPCP enumeró alrededor de 4.000 repositorios de códigos privados en un foro de la web oscura con un precio inicial de 95.000 dólares.
Las acciones hasta la fecha, incluido el comportamiento impredecible, indican motivaciones más allá del beneficio financiero y un “claro deseo de notoriedad”, dijo Goody. «Parece que les gusta crear el caos».
Quist llega a la misma conclusión de su investigación de meses, señalando que alienta a otros ciberdelincuentes a participar en la acción, ofreciendo en un momento recompensas financieras por el mayor ataque a la cadena de suministro de software.
TeamPCP no está involucrado en pagos de extorsión, dijo. «Estos actores están más interesados en la credibilidad callejera clandestina que están ganando» y en «causar tanto daño y caos como sea posible».
Las víctimas abundan, pero la exposición es limitada
TeamPCP ha sido notablemente ruidoso, inyectando de manera oportunista malware en software de código abierto con el fin de robar credenciales para entornos Kubernetes, Amazon Web Services, Microsoft Azure, Google Cloud y muchos otros servicios conectados.
La lista de víctimas reclamadas por el grupo es asombrosa: Checkmarx, Bitwarden, LiteLLM, Telnyx, Mercor AI, PyTorch Lightning, AntV, SAP, GitHub, TanStack, UiPath, MistralAI, Microsoft DurableTask, Red Hat y Nx Console.
La colección completa de paquetes comprometidos o envenenados por TeamPCP hasta la fecha representa aproximadamente 500 millones de descargas semanales combinadas, según Quist.
Si bien la amplitud del posible compromiso posterior que surge de esas descargas es sustancial, muchos puntos finales infectados con esos paquetes plagados de malware no están expuestos a Internet y son menos susceptibles a los ataques, agregó.
«No creo que vaya a haber un número muy grande de víctimas», dijo Quist. «Habrá muchas personas que podrían verse comprometidas y tener paquetes potencialmente vulnerables en su entorno, pero eso no significa necesariamente que estén en una posición explotable».
Si bien estos incidentes han acaparado los titulares, TeamPCP no ha acumulado pagos tan grandes como otros ciberdelincuentes. Sin embargo, el impacto reputacional más amplio que ha provocado es enorme.
TeamPCP ha reclamado públicamente más de 10.000 víctimas y alrededor de 90.000 dólares en extorsiones, según Quist.
«Puede que no estén ganando mucho dinero, pero están causando un gran impacto», dijo Goody. «Sus campañas han sido muy disruptivas».
Cómo el modelo operativo de TeamPCP apunta al desarrollo
La lista de víctimas de TeamPCP ha crecido a medida que sus repositorios de código abierto secuestrados en npm, PyPI, GitHub y otras herramientas de desarrollo subcontratadas que se incorporan al código ascendente que se ejecuta en entornos de producción.
Las computadoras portátiles de los desarrolladores y otros puntos finales asignados para instalar, construir y publicar software contienen ampliamente claves y acceso al código fuente que crean objetivos de cadena de suministro increíblemente valiosos para los atacantes, explicó Amitai Cohen, jefe del equipo de inteligencia de vectores de ataque en Wiz, durante una presentación en junio sobre TeamPCP en SleuthCon en Arlington, Virginia.
El grupo se dirige a los corredores de CI, que son sistemas automatizados que crean, prueban y publican código. TeamPCP inyecta malware en los repositorios de código que mantienen estos corredores. Cuando otros desarrolladores introducen ese código en sus propios sistemas, sin saberlo, descargan el malware junto con él.
Algunos de estos artefactos, incluidas las bibliotecas de Python, los registros npm y las acciones de GitHub, son descargados casi de inmediato por miles o millones de desarrolladores que han configurado sus ejecutores para que obtengan consistentemente la última versión, según Cohen. «Nosotros, como industria de la seguridad, les hemos enseñado que eso es lo correcto. Quiere utilizar la última versión porque quiere estar protegido contra vulnerabilidades y, obviamente, quiere beneficiarse de todas las funciones más recientes».
Ese instinto es exactamente lo que explota TeamPCP. Al comprometer el flujo de trabajo de CI/CD de una empresa, el grupo obtiene acceso a todos los usuarios intermedios que extraen automáticamente ese código infectado. “Esto es lo que permite [TeamPCP] «Para aprovechar el acceso inicial a algún paciente cero, alguna empresa que tenía una vulnerabilidad en su flujo de trabajo de CI/CD, para obtener acceso a sus usuarios intermedios», dijo Cohen. «Así es como funciona la cadena de suministro de software. Todo tiene dependencias sobre dependencias sobre dependencias”.
Algunos de los paquetes comprometidos por TeamPCP estuvieron activos durante casi 13 horas, pero los profesionales de la seguridad han respondido identificando ataques de inyección de código mucho más rápido ahora, retirando algunos repositorios comprometidos en 15 minutos, dijo Ben Read, director de inteligencia estratégica de Wiz.
Las operaciones del grupo de amenaza siguen siendo de alto ritmo. TeamPCP infecta nuevos paquetes de software casi a diario, valida los compromisos y captura datos confidenciales en 24 horas, según los investigadores de Wiz.
El grupo de amenazas ha evolucionado constantemente sus tácticas, desarrollando cargas útiles en JavaScript y Python mientras se propaga desde archivos locales a interfaces de programación de aplicaciones de Kubernetes y kits de desarrollo de software incluidos. Más recientemente, ha estado robando credenciales mediante protocolos personalizados.
Las ambiciones del grupo se han expandido más allá de sus propios ataques. TeamPCP también es responsable de una pieza de malware autorreplicante conocida como Mini Shai-Hulud, que infectó cientos de paquetes de software en registros de código abierto en ataques consecutivos el mes pasado. Un afiliado de TeamPCP publicó el código fuente completo del malware en GitHub el mes pasado y alentó a otros ciberdelincuentes a utilizarlo para sus propias campañas.
«TeamPCP busca volumen. No discriminan, no necesariamente intentan ser sigilosos o maximizar el retorno de la inversión. Buscan una estrategia que incluya todo lo anterior», dijo Read durante la presentación de Sleuthcon.
Las brechas defensivas crean aperturas para el ataque
La ola de ataques de TeamPCP también ha puesto de relieve lo difícil que es para las organizaciones revocar secretos comprometidos. Múltiples víctimas han experimentado infecciones recurrentes, a veces siendo víctimas de TeamPCP tres veces en un mes, porque no rotaron los secretos correctamente, dijo Cohen.
En esencia, estos ataques resaltan una compensación directa que las organizaciones aceptan cuando actualizan el software rápidamente para corregir vulnerabilidades, pero aprenden que hacerlo demasiado rápido podría exponerlas a registros ilegítimos que contienen malware.
TeamPCP se ha centrado en lo que Aboukhadijeh describe como un “bien público”, registros de código abierto que nunca fueron perfectos pero que eran ampliamente confiables y rara vez se convertían en un punto de entrada para ataques a la cadena de suministro.
La instalación rápida de software de código abierto es una de las cosas más peligrosas que una organización puede hacer en este momento, dijo, y agregó que hay aproximadamente una posibilidad entre 10 de que cualquier paquete instalado por una organización pueda desencadenar un ataque activo.
TeamPCP ha comprometido escáneres de seguridad, administradores de contraseñas, herramientas de automatización, software de visualización de datos e infraestructura CI/CD en varios entornos.
Y ha obtenido un tesoro de credenciales y otros datos confidenciales de las víctimas.
Investigadores como Cohen en Wiz, que han estado siguiendo esta ola de ataques desde el principio, se están acercando a un punto de ruptura.
«Esto también es demasiado duro para nosotros. Estamos muy cansados. Estoy seguro de que mucha gente que trabaja en este espacio problemático está muy cansada y se ha vuelto insostenible», dijo Cohen.
«No se puede seguir existiendo en un mundo en el que te despiertas cada mañana y algún paquete súper prevalente está comprometido y todo el mundo va a utilizarlo como si nada», añadió. «Necesitamos empezar a tomar esto un poco más en serio».
