Внутренние репозитории GitHub взломаны.

Обновление от 22 мая 2026 г., 14:20 UTC:

Добавлена дополнительная информация о защите.
Обновлено хеш-значение для индикатора компрометации (IOC), относящегося к index.js (предыдущий хеш, a68dd1e6a6e35ec3771e1f94fe796f55dfe65a2b94560516ff4ac189390dfa1c, предположительно относится к аналогичной, но другой компрометации TeamPCP).

Обновление от 21 мая 2026 г., 16:45 UTC:

Согласно сообщениям, в инциденте использовалось зараженное расширение VS Code — Nx Console (nrwl.angular-console, версия 18.95.0). Взломленная версия этого расширения была опубликована 18 мая 2026 года, а уведомление о безопасности доступно здесь.

Группы Sophos Managed Detection and Response (MDR) выявили несколько пострадавших клиентов в ходе поиска угроз.

Мы также обнаружили вредоносное ПО на затронутой конечной точке — бэкдор на Python под названием cat.py (fb5c97557230a27460fdab01fafcfabeaa49590bafd5b6ef30501aa9e0a51142), расположенный по пути /Users/%/.local/share/kitty/cat.py . Первоначальный анализ показывает, что это то же самое вредоносное ПО, которое наблюдалось при недавнем взломе цепочки поставок @antv, также приписываемом TeamPCP.

Это удалённый бэкдор, который загружает и выполняет произвольный код Python с URL-адресов, контролируемых злоумышленником. Он использует API поиска GitHub в качестве скрытого канала связи, опрашивая api.github[.]com/search/commits каждый час на наличие ключевого слова 'firedalazer', и использует публичные коммиты GitHub для сокрытия команд на виду.

Он извлекает команды из сообщений коммитов, проверяет их с помощью встроенного открытого ключа RSA, а также загружает и выполняет предоставленные злоумышленником полезные нагрузки на языке Python.

19-20 мая 2026 года GitHub подтвердил инцидент безопасности, затронувший его собственные внутренние системы. Злоумышленник, представившийся как TeamPCP (также известный как UNC6780), взломал устройство разработчика сотрудника с помощью вредоносного расширения Visual Studio Code и использовал эту уязвимость для клонирования примерно 3800 внутренних репозиториев GitHub. Сообщается, что злоумышленник выставил данные на продажу на криминальном форуме по цене более 50 000 долларов США.

По оценке GitHub, репозитории клиентов, корпоративные учетные записи и пользовательские данные не затронуты. Судя по имеющимся данным, взлом ограничен только корпоративной инфраструктурой GitHub. GitHub заявляет, что сменил учетные данные, изолировал затронутые конечные точки и продолжает расследование.

Компания Sophos провела проверку своей внутренней инфраструктуры и не обнаружила никаких признаков компрометации.

Что случилось

Судя по публичным заявлениям GitHub и сообщениям The Hacker News, Cybersecurity News и других изданий, инцидент развивался следующим образом:

• Первоначальный доступ. TeamPCP установила вредоносное расширение для Visual Studio Code на устройство разработчика сотрудника GitHub. Расширение собирало секретные ключи разработчика и токены доступа из локальной среды IDE.
• Кража репозиториев. Используя украденные учетные данные, злоумышленник клонировал около 3800 внутренних частных репозиториев GitHub, содержащих проприетарный исходный код, скрипты развертывания и внутренние конфигурационные материалы. Первоначально в СМИ сообщалось о цифре около 4000; GitHub описывает меньшее число как «соответствующее направлению» проводимого расследования.
• Монетизация. TeamPCP выставила украденные данные на продажу на форуме киберпреступников и использовала предположительно связанную с ними учетную запись X/Twitter (xploitrsturtle2), чтобы публично дразнить GitHub.
• Обнаружение произошло благодаря GitHub. GitHub обнаружил утечку 19 мая, начал реагирование на инцидент и в тот же день произвел ротацию критически важных секретов. Вредоносная версия расширения удалена; зараженные конечные точки изолированы.

Ключевые тактики и методы работы команды TeamPCP

Отличительной чертой TeamPCP является то, что они получают доступ косвенно, внедряя бэкдоры в инструменты безопасности и разработки с открытым исходным кодом, которым целевые системы уже доверяют и которые они используют. Ниже приведено краткое описание пяти наиболее распространенных методов TeamPCP, сопоставленных с соответствующими идентификаторами методов MITRE ATT&CK.

• Компрометация цепочки поставок программного обеспечения (T1195.002). Вмешательство в работу доверенных инструментов (например, Trivy, Checkmarx, LiteLLM) для распространения вредоносного ПО через легитимные экосистемы обновлений и пакетов.
• Масштабный сбор учетных данных (T1555 / T1003). Кража паролей, ключей API, учетных данных облачных сервисов и секретов CI/CD из зараженных сред разработки и производства.
• Злоупотребление действительными учетными записями для горизонтального доступа (T1078). Повторное использование украденных токенов и учетных данных разработчиков для перемещения между репозиториями, конвейерами и организациями.
• Злоупотребление конвейером CI/CD и экосистемой пакетов (T1608.004). Отравление конвейеров сборки и публикация вредоносных пакетов для распространения доступа среди нижестоящих пользователей и зависимостей.
• Автоматизированное распространение вредоносного ПО через зависимости программного обеспечения (T1210 / T1105). Развертывание самораспространяющегося вредоносного ПО (например, CanisterWorm) для распространения через npm и рабочие процессы разработчиков в больших масштабах.

Ответ Sophos

Компания Sophos активно отслеживала этот инцидент с момента его первого публичного сообщения. Внутри компании мы предприняли следующие действия:

• Проведен внутренний поиск. Проверены сетевой прокси, локальный межсетевой экран, центральные события данных, DNS, ZTNA и журналы аудита GitHub на основе предоставленной информации. Признаков компрометации не обнаружено. Небольшое количество совпадений указывает на неаутентифицированных внешних ботов, проверяющих путь URL /git-service, и эти совпадения исключены как не связанные с проблемой.
• Анализ журналов аудита GitHub. Были выявлены аномальные действия с токенами, секретами, OAuth, веб-хуками и загрузками за последние 30 дней; все события соответствовали обычной активности.
• Поиск расширений для VS Code. Собран список расширений VS Code, присутствующих в среде Sophos, и проводится их оценка на соответствие репутации издателя и областям разрешений. Поиск продолжается.
• Мониторинг продолжается. Sophos X-Ops продолжает отслеживать этот инцидент.

Рекомендации

Компания SophosLabs следит за этим инцидентом и будет изучать возможности обнаружения и устранения угроз, связанных с эксплуатацией уязвимостей. Sophos X-Ops рекомендует следующее:

• Проверяем установленные расширения VS Code. Проводим инвентаризацию расширений на конечных устройствах разработчиков и образах VDI. Отмечаем все, что выходит за рамки утвержденного набора, в частности: новые или редкие издатели, опечатки, очень недавние расширения прав доступа и расширения, обеспечивающие интеграцию с оболочкой или выполнение задач в доверенных репозиториях.
• Ищите аномалии, вызванные IDE. На устройствах разработчиков обращайте внимание на следующие проблемы: запуск дочерними процессами VS Code Git или инструментов для работы с учетными данными вне рабочего времени разработчиков; загрузку архива с последующим выполнением интерпретатора; исходящие соединения с хостами разработчиков с новыми или редкими доменами.
• Усильте идентификацию разработчиков. Внедрите краткосрочные токены, ограниченный доступ и единый вход (SSO) для контроля версий. Произведите ротацию всех долгосрочных токенов доступа разработчиков, находившихся на потенциально затронутых хостах. Проанализируйте журналы аудита на предмет массового клонирования или необычных шаблонов чтения из репозитория.

Sophos X-Ops рекомендует организациям, разработчики которых могли установить скомпрометированную версию расширения Nx Console, предпринять следующие действия:

• Удалите скомпрометированное расширение. Выявите и удалите затронутые версии Nx Console на всех устройствах разработчиков и образах VDI. Для получения информации о конкретном диапазоне версий обратитесь к рекомендациям проекта Nx.
• Рассматривайте секреты разработчиков как раскрытые. На любом хосте, где было установлено скомпрометированное расширение, предполагайте, что резидентные учетные данные, токены, SSH-ключи и секреты CI/CD скомпрометированы. Меняйте их. Обратите особое внимание на долгосрочные токены GitHub, npm, AWS и Vault, а также на учетные данные для публикации, используемые конвейерами сборки.
• Найдите бэкдор Python на macOS. Найдите артефакт cat.py по указанному пути и любой процесс, отправляющий исходящие запросы к api.github.com/search/commits с постоянными ежечасными интервалами из процессов, не являющихся инструментами разработчика. Ежечасный опрос API поиска GitHub из интерпретатора Python является высоконадежным индикатором.
• Проведите аудит последних опубликованных пакетов. Если разработчики имели права на публикацию во внутренних или публичных реестрах пакетов, проверьте историю пакетов за соответствующий период на предмет неожиданных релизов, подписанных украденными токенами.

Защита

В отношении данной кампании действуют следующие меры защиты:

• JS/Agent-BMBA
• JS/Agent-BMBB
• JS/Steal-EAT
• Troj/PyAgent-CN
• JS/Steal-EBA

МОК

• main.js (расширение полезной нагрузки): b0cefb66b953e5184b6adb3035e9e267335ac5eabfe1848e07834777b9397b74
• index.js (orphan-commit payload): e7347d90653efc565f03733a95e9209d78f9cfa81e31ff2b2dd9d48d75a4b8b1
• cat.py (бэкдор Python): fb5c97557230a27460fdab01fafcfabeaa49590bafd5b6ef30501aa9e0a51142