TeamPCP 供应链蠕虫:波及范围远超预期
2026 年 5 月 20 日,安全研究人员确认 TeamPCP 的攻击规模远超最初估计。
攻击时间线
- 5 月 11 日:从 TanStack 路由生态系统开始,蠕虫式载荷扩散到 170+ npm 包
- 5 月 18 日:投毒 Nx Console VS Code 扩展,18 分钟窗口期
- 此后:利用窃取的凭证横向移动,攻击更多组织
确认受害者
- GitHub、OpenAI、Mistral AI、欧盟委员会
- Trend Micro 追踪到 2026 年至少 7 波 TeamPCP 攻击
- 此前目标包括 Aqua Trivy、Checkmarx KICS、LiteLLM、Bitwarden CLI 等
安全建议
安装了 Nx Console 扩展的开发者应立即:
- 轮换 GitHub 个人访问令牌
- 轮换 npm 令牌和 AWS 密钥
- 检查 1Password 保险库
- 审查 Claude Code 配置文件
来源: VentureBeat + Trend Micro
链接: https://venturebeat.com/security/github-confirms-3800-repos-stolen-poisoned-vs-code-extension-supply-chain-worm-microsoft-python-sdk