Die Zuordnung der Angriffe wird zunehmend unübersichtlich. CERT-EU bestätigte, dass die Gruppe ShinyHunters einen exfiltrierten Datensatz auf ihrer Leak-Seite veröffentlicht hat; einige Tage zuvor hatte die Gruppe behauptet, mehr als 91 GB sensibler Daten der Kommission erbeutet zu haben – darunter E-Mails, Datenbanken und vertrauliche Dokumente. Lapsus$, eine mit ShinyHunters und dem Kollektiv Scattered Spider verbundene Gruppe, gab an, über 4 TB interner Daten von Mercor zu verfügen, einschließlich nahezu eines Terabyte Quellcode. Mercor antwortete auf eine Anfrage von Dark Reading bis Redaktionsschluss nicht. Wie alle Gruppen an die teils überlappenden Daten gelangten, ist unklar.
Sicherheitsanbieter hatten bereits gewarnt, dass TeamPCP gestohlene Zugangsdaten und Geheimnisse aus den Lieferkettenangriffen nutzt, um in Cloud-Infrastrukturen einzudringen. Laut einem Blogbeitrag von Wiz hat dessen Incident-Response-Team „mehrere Angriffe" beobachtet, bei denen TeamPCP gestohlene Zugangsdaten zum Zugriff auf AWS-, Azure- und SaaS-Instanzen einsetzte. Wiz beschreibt, wie die Angreifer in mehreren AWS-Umgebungen das Open-Source-Werkzeug Trufflehog verwendeten, um gestohlene Zugangsdaten aufzuspüren und zu validieren, anschließend die Umgebungen auskundschafteten und schließlich aus S3-Buckets und Amazon-ECS-Instanzen Daten abzogen.
Beim Einbruch in die Europäische Kommission folgten die Angreifer laut CERT-EU einem nahezu identischen Vorgehen: Nach dem Download einer kompromittierten Trivy-Version stahlen sie einen AWS-API-Schlüssel, der ihnen Kontrolle über AWS-Konten verschaffte, suchten mit Trufflehog nach weiteren Zugangsdaten und exfiltrierten Daten. Besonders bemerkenswert ist das Tempo: Nach der Zeitleiste von CERT-EU erlangten die Angreifer den API-Schlüssel am 19. März – am selben Tag, an dem TeamPCP begann, kompromittierte Trivy-Versionen zu verteilen. Das war einen Tag, bevor der Angriff erstmals bekannt wurde, und mehrere Tage, bevor Aqua Security, der Betreuer des Open-Source-Scanners, die Kompromittierung offiziell offenlegte.
„Geschwindigkeit ist die eigentliche Lehre", sagt Ensar Seker, CISO bei SOCRadar. „In der Praxis bemisst sich das Reaktionsfenster nun in Stunden, nicht in Tagen." Der größte Fehler sei, das schädliche Paket zu entfernen, die gestohlenen Zugangsdaten aber nutzbar zu lassen. Organisationen sollten offengelegte Geheimnisse sofort widerrufen und rotieren, alle Tokens für ungültig erklären und Cloud-Zugangsdaten neu ausstellen sowie CI/CD-Runner, GitHub-Actions und Veröffentlichungs-Workflows prüfen.
Nach Einschätzung von Seker wirkt das Geschehen „weniger wie eine saubere Übergabe zwischen getrennten Gruppen, sondern eher wie ein Zusammenfließen von Cybercrime-Ökosystemen rund um denselben Zugang". Während TeamPCP die ursprünglichen Kompromittierungen und den Diebstahl von Zugangsdaten vorantrieb, treten ShinyHunters und Lapsus$ nun in der Phase der Monetarisierung und Erpressung auf. Einem mit TeamPCP verbundenen X-Beitrag zufolge arbeitet die Gruppe nicht mit ShinyHunters zusammen, sondern liegt aktiv im Streit mit ihnen.
Zugleich kündigte TeamPCP ein formelles Bündnis mit Vect an, einer aufstrebenden Ransomware-Bande. Das verändere die Risikolage erheblich, sagt Tomer Peled, Sicherheitsforscher bei Akamai: „Vect erhält nun Zugang zu potenziell Millionen von Opfern, die über TeamPCPs RAT mit ihrer Ransomware infiziert werden können." Wie Akamai dokumentierte, enthielt das kompromittierte Telnyx-PyPI-Paket einen dreistufigen Remote-Access-Trojaner, der TeamPCP und Vect Hintertürzugang zu Organisationen verschafft, die das verseuchte SDK heruntergeladen haben. Angesichts der Menge bereits erbeuteter Zugangsdaten rechnet Peled damit, dass weitere kompromittierte Bibliotheken entdeckt werden.