TeamPCP grubu 2020'den beri Redis sunucularını hedefliyor, şimdi açık kaynak tedarik zincirine sıçradı

Güvenlik araştırma şirketi Oligo’nun yayınladığı yeni bir rapor, TeamPCP adlı bir tehdit grubunun altı yılı aşkın süredir aktif olduğunu ve saldırı yöntemlerinin zaman içinde önemli ölçüde geliştiğini ortaya koydu.

Grubun geçmişi

Araştırmacılara göre TeamPCP, 2020’den itibaren ShadowRay 2.0/IronErn ve TA-NATALSTATUS gibi farklı kampanya adları altında faaliyet gösteriyor. Grubun ilk dönemdeki hedefi, internete doğrudan açık bırakılmış Redis, Docker, Ray ve React tabanlı sunuculara sızıp bu makinelerin işlem gücünü kripto para madenciliği için kullanmaktı.

Tedarik zincirine sıçrama

Rapor, grubun son dönemde taktiğini kripto-madenciliğinin ötesine taşıdığını gösteriyor: TeamPCP artık GitHub Actions iş akışlarını ve çalınmış erişim token’larını silahlandırarak popüler açık kaynak paketlerine kötü niyetli kod enjekte ediyor. Amaç, kurbanların altyapısında dağıtık proxy ve tarama ağları kurarak veri sızdırma, fidye yazılımı dağıtımı ve kripto-madenciliği faaliyetlerini büyütmek.

Neden önemli

Redis, Docker ve React, günümüz web ve otomasyon altyapısının en yaygın kullanılan bileşenleri arasında. Bir tehdit grubunun bu denli köklü bir geçmişle, doğrudan sızmadan açık kaynak tedarik zincirini zehirlemeye evrilmesi, geliştirici ekiplerinin yalnızca kendi sunucularını değil, bağımlı oldukları açık kaynak paketlerin kaynağını ve CI/CD boru hattı yetkilerini de düzenli olarak denetlemesi gerektiğini hatırlatıyor. Özellikle internete açık Redis/Docker servislerinin erişim kontrolü ve GitHub Actions token kapsamlarının minimum yetki ilkesine göre sınırlandırılması öne çıkan önlemler arasında.