De hacker groep TeamPCP heeft haar campagne gericht op open source software uitgebreid van de aanvallen op de Trivy supply chain naar onder meer NPM, Docker Hub, VS Code en PyPI. Vermoedelijk werkt TeamPCP samen met de Lapsus$-groep voor het monetariseren van de aanvallen. De aanval op Aqua Security’s veelgebruikte Trivy kwetsbaarheidsscanner begon eind februari met het compromitteren van een toegangstoken. Omdat de beheerders niet alle credentials en geheimen gelijktijdig hebben geroteerd, konden de aanvallers hun toegang tot de omgeving behouden.

Volgens OpenSourceMalware werd het Argon-DevOps-Mgt service account token gehackt, waarmee de aanvallers schrijfrechten en admin-toegang kregen tot zowel interne als publieke repositories van Aqua Security. De aanval wordt toegeschreven aan TeamPCP, ook bekend als DeadCatx3, PCPcat en ShellForce, die eerder in december een worm-gedreven campagne voerden gericht op Docker, Kubernetes, Ray en Redis, en daarbij ook de React2Shell kwetsbaarheid misbruikten. Bij de Trivy supply chain aanval, geregistreerd als CVE-2026-33634 met een CVSS-score van 9.4, publiceerden de hackers kwaadaardige pakketversies en wijzigden GitHub Actions tags om malware te verspreiden die inloggegevens, sleutels, tokens en andere gevoelige data verzamelt.

Begin maart werd een vergelijkbare aanval uitgevoerd op Xygeni, waarbij gecompromitteerde credentials voor repository automatisering werden gebruikt om kwaadaardige code in te voeren. Aanvankelijk probeerden de aanvallers via pull requests binnen te komen, maar toen dat mislukte, wijzigden ze een mutable tag om te verwijzen naar een kwaadaardige commit, wat leidde tot verdere besmettingen. Xygeni benadrukt in haar incidentrapport het belang van uitgebreide repository bescherming, streng credentialbeheer en een gelaagde verdediging binnen CI/CD-systemen.

TeamPCP begon op 19 maart malware te verspreiden via de Trivy repositories, maar Aqua Security meldt dat de multi-stage supply chain aanval inmiddels is ingeperkt en zich in de fase van herstel en documentatie bevindt. Het duurde echter vijf dagen om de aanvallers volledig te verwijderen. Drie dagen na het starten van de herstelwerkzaamheden publiceerden de aanvallers nog kwaadaardige Trivy Docker Hub images (versies 0.69.5 en 0.69.6), wat bevestigde dat hun toegang nog niet was geblokkeerd. Aqua werkt samen met Sygnia aan formele documentatie met een tijdlijn, genomen maatregelen en ondersteunend materiaal voor klanten, gebaseerd op een grondige review van credentials, toegangscontroles en getroffen systemen.

Wat deze aanval onderscheidt is het gebruik van gewijzigde GitHub Action tags die malware verwijzen zonder zichtbare veranderingen in de tagnaam, publicatiedata of releasepagina, waardoor de aanvallers onopgemerkt konden opereren. Volgens een rapport van het SANS Institute waren meer dan 10.000 CI/CD workflows getroffen door het Trivy-incident. Elke pipeline die verwees naar de gewijzigde GitHub Actions voerde automatisch de kwaadaardige code uit, wat leidde tot het lekken van credentials, geheimen en infrastructuurgegevens. Om detectie te voorkomen verwijdert de malware na het stelen van gegevens alle tijdelijke bestanden, terwijl het script verder functioneert als de legitieme trivy-action, waardoor het lijkt alsof de scan succesvol is afgerond.

Op 23 maart voerde TeamPCP ook een aanval uit op het KICS open source project van Checkmarx, waarbij kwaadaardige versies van checkmarx.cx-dev-assist en checkmarx.ast-results werden gepubliceerd.