有兩個 GitHub Actions 工作流程成為最新被名為 TeamPCP 的威脅行為者利用憑證竊取惡意軟體入侵的案例。 TeamPCP 是一個雲端原生網路犯罪組織，也是Trivy 供應鏈攻擊的幕後黑手。以下列出了由供應鏈安全公司 Checkmarx 維護的這兩個工作流程：

✔  checkmarx/ast-github-action

✔  checkmarx/kics-github-action

雲端安全公司 Sysdig 表示，在 2026 年 3 月 19 日發生資料外洩事件約四天后，他們發現了一個與 TeamPCP 攻擊 Aqua Security 的 Trivy 漏洞掃描器及其關聯的 GitHub Actions 時使用的憑證竊取程式相同的程式。此 Trivy 供應鏈漏洞的 CVE 編號為CVE-2026-33634（CVSS 評分：9.4）。Sysdig表示：“這表明，從Trivy漏洞中竊取的憑證被用於對受影響的存儲庫進行其他操作。 ”

該竊取程式稱為“TeamPCP Cloud stealer”，旨在竊取與 SSH 金鑰、Git、Amazon Web Services (AWS)、Google Cloud、Microsoft Azure、Kubernetes、Docker、.env 檔案、資料庫和 VPN 相關的憑證和秘密，以及 CI/CD 設定、加密貨幣錢包中的資料以及 Slhooack 和 Discord webhooack URL。

Sysdig表示：“針對每個惡意操作使用廠商特定的域名搶注是一種蓄意的欺騙手段。分析師在審查CI/CD日誌時會看到看似指向該操作所屬廠商域名的curl流量，從而降低了人工檢測的可能性。”

在非 CI 系統上，該惡意軟體透過 systemd 使用者服務安裝持久化程式。這個持久化腳本每 50 分鐘輪詢一次 https://checkmarx[.]zone/raw 以獲取新的有效載荷，並設有終止開關，如果響應包含“youtube”，則終止腳本會中止運行。目前，該連結重定向到皇后樂團的《The Show Must Go On》專輯。為降低威脅，建議用戶立即執行以下操作：

✔  輪換受影響視窗期間 CI 運行程式可存取的所有金鑰、令牌和雲端憑證。

✔  審核 GitHub Actions 工作流程運行，尋找運行器日誌中對 tpcp.tar.gz、scan.aquasecurity[.]org 或 checkmarx[.]zone 的任何參考。

✔  在 GitHub 組織中搜尋名為「tpcp-docs」或「docs-tpcp」的儲存庫，這表示透過回退機製成功進行了資料外洩。

✔  將 GitHub Actions 固定到完整的提交 SHA 而不是版本標籤，因為標籤可以被強制推送。

✔  監控 CI 運行程式到可疑域的出站網路連線。

✔  使用 IMDSv2 限制 CI 運行器容器對實例元資料服務 (IMDS) 的存取。。

資料來源：https://thehackernews.com/2026/03/teampcp-hacks-checkmarx-github-actions.html