Der Wurm greift während der Paketinstallation über einen Postinstall-Hook ein und sammelt Zugangsdaten sowie Geheimnisse aus der Entwicklerumgebung. Zusätzlich versucht er, Anmeldedaten aus Chromium-basierten Browsern sowie Daten aus Kryptowährungs-Wallet-Erweiterungen abzugreifen. Die gestohlenen Informationen werden an einen HTTPS-Webhook unter „telemetry.api-monitor[.]com" sowie an einen ICP-Canister übermittelt.
„Das ist kein bloßer Zugangsdaten-Diebstahl", erklärte Socket. „Das System ist darauf ausgelegt, aus einer einzigen kompromittierten Entwicklerumgebung weitere Paketkompromittierungen zu erzeugen." Die enthaltene PyPI-Logik erzeugt eine Python-.pth-basierte Nutzlast, die beim Python-Start ausgeführt wird, und lädt anschließend per Twine schadhafte Python-Pakete hoch — sofern die dafür nötigen Zugangsdaten vorliegen.
Parallel dazu meldete JFrog, dass mehrere Versionen des legitimen Python-Pakets „xinference" (2.6.0, 2.6.1 und 2.6.2) mit einer Base64-kodierten Nutzlast versehen wurden. Diese lädt ein zweistufiges Modul nach, das Zugangsdaten und Geheimnisse vom infizierten System sammelt. Die dekodierte Nutzlast enthält laut JFrog den Kommentar „# hacked by teampcp" — dasselbe Erkennungsmerkmal, das bei früheren TeamPCP-Kompromittierungen auftauchte. TeamPCP widersprach auf der Plattform X einer Zuordnung und bezeichnete den Vorfall als das Werk eines Nachahmers.
Ebenfalls aufgedeckt wurden zwei Pakete — je eines auf npm (kube-health-tools) und PyPI (kube-node-health) — die sich als Kubernetes-Werkzeuge tarnen, im Hintergrund jedoch eine Go-basierte Binärdatei installieren. Diese richtet auf dem Rechner des Opfers einen SOCKS5-Proxy, einen Reverse-Proxy, einen SFTP-Server sowie einen LLM-Proxy ein. Letzterer ist als OpenAI-kompatibles API-Gateway konzipiert und leitet Anfragen an nachgelagerte Dienste weiter, darunter chinesische LLM-Router wie shubiaobiao.
Ilyas Makari vom Unternehmen Aikido Security warnte, dass ein solcher Router eine sensible Vertrauensgrenze darstelle: Da sämtliche Anfragen im Klartext durch ihn laufen, könne ein bösartiger Betreiber schadhafte Werkzeugaufrufe in Antworten von Programmier-Agenten einschleusen oder Geheimnisse aus Anfrage- und Antwortinhalten abgreifen — etwa API-Schlüssel, AWS-Zugangsdaten, GitHub-Token, private Ethereum-Schlüssel und Systemprompts.
Eine weitere, vom Unternehmen Panther dokumentierte Kampagne imitierte den Telefonversicherungsanbieter Asurion und seine Tochtergesellschaften. Zwischen dem 1. und 8. April 2026 wurden dabei schadhafte npm-Pakete — darunter sbxapps, asurion-hub-web, soluto-home-web und asurion-core — veröffentlicht, die einen mehrstufigen Zugangsdaten-Diebstahl enthielten. Die erbeuteten Daten wurden zunächst an einen Slack-Webhook und anschließend an einen AWS-API-Gateway-Endpunkt weitergeleitet; ab dem 7. April war die Exfiltrationsadresse per XOR-Kodierung verschleiert.
Darüber hinaus beleuchtete das zu Google gehörende Cloud-Sicherheitsunternehmen Wiz eine durch künstliche Intelligenz unterstützte Kampagne namens prt-scan, die seit dem 11. März 2026 gezielt den GitHub-Actions-Workflow-Trigger „pull_request_target" ausnutzt. Der Angreifer, der unter mehreren Konten operiert, forkt betroffene Repositories, schleust eine schadhafte Nutzlast in eine ausgeführte Datei ein und stiehlt beim Auslösen des Workflows Entwicklerzugangsdaten. Werden npm-Token gefunden, veröffentlicht er eine bösartige Paketversion. Wiz analysierte mehr als 450 Angriffsversuche und stellte dabei eine Erfolgsquote von unter zehn Prozent fest; erfolgreiche Angriffe richteten sich überwiegend gegen kleine Hobbyprojekte und lieferten meist nur kurzlebige GitHub-Workflow-Zugangsdaten.