澳洲聯邦警察（AFP）近期對兩名涉嫌參與 TeamPCP 網路犯罪組織的男子提起訴訟。這起案件揭露了一場極具破壞力的供應鏈攻擊，攻擊者透過污染開源安全工具，進而滲透全球超過一千家組織。這場攻擊的核心在於利用開發者對開源工具的信任，將惡意代碼注入到軟體分發管道中，造成大規模的憑證外洩與數據竊取。
背景與攻擊目標
此次事件的焦點在於 2026 年 3 月發生的系列攻擊。TeamPCP 鎖定的目標並非單一公司，而是基礎設施中的關鍵開源元件，包括 Trivy（一款廣泛使用的容器與基礎設施漏洞掃描器）、Checkmarx KICS（用於分析基礎設施即代碼 IaC 的掃描工具）以及 LiteLLM（一個將不同大型語言模型 LLM 統一接口的 AI 閘道）。
這類工具在現代軟體開發流程中扮演著守門人的角色，特別是 LiteLLM 由於處於組織與 AI 供應商之間，通常集中管理著所有模型提供商的 API 金鑰（Provider Keys），一旦被攻破，攻擊者能直接獲取進入企業 AI 核心的權限。
連鎖反應的運作方式
TeamPCP 採用的策略是一種精巧的連鎖反應，他們不直接攻擊最終目標，而是透過竊取受信任開源專案的發佈憑證（Publishing Credentials），將含有後門的惡意版本推送到官方發佈渠道。
攻擊路徑呈現出明顯的遞進關係：首先，攻擊者攻陷了 Trivy 掃描器，獲取了相關憑證。隨後，他們利用這些憑證在數日後攻擊 Checkmarx KICS 的 GitHub Actions。而最關鍵的轉折點發生在 LiteLLM 的建置流程中，由於 LiteLLM 在安裝 Trivy 時並未指定特定的驗證版本（Pinning），導致其自動下載並執行了被污染的 Trivy 版本。
這個惡意掃描器在執行過程中，悄悄竊取了 LiteLLM 的發佈令牌（Publishing Token），使攻擊者得以在 3 月底向 PyPI 等套件庫推送帶有後門的 LiteLLM 正式版本。這種從一個工具跳轉到另一個工具的攻擊模式，使得防禦者難以在單一點截斷攻擊鏈。
影響規模與數據損失
根據澳洲聯邦警察與美國聯邦調查局（FBI）的 joint media release，此次攻擊對全球影響深遠。初步估計有超過 1,000 家組織受到影響，導致超過 50 萬組憑證被盜，並外洩了至少 300 GB 的敏感數據。
不同的資安研究機構對受害規模有不同視角。Unit 42 早期提供了與警方相近的數據，而 CloudSEK 的分析則更為驚人，認為受影響的組織可能超過 2,500 家，且涉及約 43.4 萬條 CI/CD（持續整合與持續部署）流水線。StepSecurity 的分析進一步指出，GitLab 是受影響最嚴重的平台，其次是 GitHub Actions、Azure DevOps 與 Jenkins。
這顯示出攻擊者並不侷限於單一生態系，而是橫跨 GitHub Actions、Docker Hub、npm、PyPI 與 OpenVSX 等五大分發系統，將 CI/CD 管道視為獲取企業內部權限的捷徑。
技術限制與防禦建議
儘管部分惡意版本已從 PyPI 等索引中移除，但研究發現部分惡意檔案在內容分發網路（CDN）中依然可被直接訪問，這意味著只要知道正確的 URL，依然能下載到危險的套件。
FBI 在其建議書中強調，被竊取的數據與憑證將構成持久性風險，因為攻擊者可能會在初始入侵後很長一段時間內才將這些資訊武器化。因此，受影響的組織必須全面輪換（Rotate）所有 CI/CD 秘密、發佈令牌以及在暴露期間可訪問的雲端憑證。
從技術層面來看，此次事件給開發者的最大教訓是禁止使用浮動的版本標籤（Floating Version Tags）。防禦者應將所有 GitHub Actions 工作流固定在經過驗證的 Commit SHA 哈希值（SHA hashes）上，而非使用如 v1.0 這種可被隨時更新的標籤，以防止在自動更新過程中引入被污染的第三方依賴。
此外，Oligo Security 的研究發現 TeamPCP 的基礎設施可追溯至 2020 年，並與 TA-NATALSTATUS 和 IronErn 等威脅組織有重疊。這表明該組織具有長期的運作經驗，且擅長將開發的蠕蟲框架（Worm Framework）開源以擴大攻擊面，使得供應鏈安全成為當前企業資安防禦中最脆弱且最關鍵的環節。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。