TeamPCP

npmレジストリが「staged publishing」を実装：SLSA証明書が防げなかった理由と残る1つの限界

世界最大級の開発基盤が陥落、従業員のVS Code経由でGitHub内部リポジトリ4000件が流出か

GitHubの内部リポジトリからソースコードが流出した事件は、従業員端末にインストールされた悪意あるVS Code拡張機能が起点だった。脅威アクター「TeamPCP」は約4,000の内部リポジトリからデータを窃取し、5万ドル以上での売却を要求しており、開発インフラを狙うサプライチェーン攻撃の高度化が開発環境のセキュリティモデルに見直しを迫っている。

CI/CDの盲点を突く史上最悪のサプライチェーン攻撃。「Mini Shai-Hulud」がAI開発環境を破壊する手口

TeamPCPによる自己増殖型ワーム「Mini Shai-Hulud」の第4波が、正規のCI/CDパイプラインを乗っ取り、SLSA証明付きマルウェアを配信するという新たなサプライチェーン攻撃を実行した。この攻撃は、GitHub Actionsの`pull_request_target`悪用、キャッシュポイズニング、OIDCトークン窃取を連鎖させ、署名と出所証明の限界を露呈した。