Η ομάδα TeamPCP παραβίασε τα εσωτερικά repositories του GitHub μέσω μολυσμένου VS Code extension, σε μία σειρά επιθέσεων supply chain που κρατά από τον Μάρτιο.
Η ομάδα χάκερ TeamPCP παραβίασε τα εσωτερικά repositories του GitHub τον Μάιο του 2026, κλέβοντας κώδικα από περίπου 3.800 repositories μέσω μολυσμένου VS Code extension.
Η επίθεση εντάσσεται σε μια σειρά supply chain επιθέσεων που ξεκίνησαν τον Μάρτιο, στοχεύοντας δημοφιλή εργαλεία ανοιχτού κώδικα όπως Trivy, LiteLLM και Bitwarden CLI.
Το GitHub επιβεβαίωσε το περιστατικό και ανέφερε ότι τα δεδομένα πελατών δεν φαίνεται να έχουν επηρεαστεί.
Η ομάδα χάκερ TeamPCP παραβίασε τα εσωτερικά repositories του GitHub, αποσπώντας κώδικα από περίπου 3.800 ιδιωτικά repositories της πλατφόρμας. Η είσοδος έγινε μέσω ενός μολυσμένου extension για το Visual Studio Code που εγκατέστησε υπάλληλος της εταιρείας, εκθέτοντας τα διαπιστευτήριά του στους επιτιθέμενους. Το GitHub επιβεβαίωσε το περιστατικό και ανέφερε ότι δεν υπάρχουν ενδείξεις ότι επηρεάστηκαν δεδομένα πελατών.
Η επίθεση δεν χρησιμοποίησε κάποια γνωστή ευπάθεια λογισμικού — στόχος ήταν ο ίδιος ο developer. Ένα κακόβουλο VS Code extension, που αργότερα ταυτοποιήθηκε ως μολυσμένη έκδοση του δημοφιλούς Nx Console (2,2 εκατομμύρια εγκαταστάσεις), έδωσε στους επιτιθέμενους πρόσβαση στα credentials του υπαλλήλου. Τα VS Code extensions έχουν πλήρη πρόσβαση στο μηχάνημα του χρήστη, συμπεριλαμβανομένων κωδικών, cloud keys και SSH keys. Το GitHub απομόνωσε άμεσα τη συσκευή, αφαίρεσε την κακόβουλη έκδοση του extension και άρχισε άμεσα την εναλλαγή κρίσιμων διαπιστευτηρίων.
Η TeamPCP (γνωστή και ως UNC6780) είναι η ομάδα που κρύβεται πίσω από τη μεγαλύτερη σε διάρκεια σειρά επιθέσεων software supply chain που έχει καταγραφεί ποτέ. Εμφανίστηκε στα τέλη του 2025 εκμεταλλευόμενη κακοδιαμορφώσεις cloud και ευπάθεια στο Next.js, και από τον Μάρτιο του 2026 επεκτάθηκε σε συστηματικές επιθέσεις σε εργαλεία ανοιχτού κώδικα. Οι ερευνητές ασφαλείας της εταιρείας Cybersecurity Socket καταμετρούν 20 κύματα επιθέσεων μέσα σε λίγους μήνες.
Η μέθοδος είναι κυκλική: η ομάδα μολύνει ένα δημοφιλές εργαλείο, κλέβει διαπιστευτήρια από όσους το εγκαθιστούν, και χρησιμοποιεί αυτά τα credentials για να μολύνει περισσότερα εργαλεία. Πρόσφατα αυτοματοποίησαν μεγάλο μέρος της διαδικασίας με ένα worm που ονομάζουν Mini Shai-Hulud, το οποίο κλέβει CI/CD credentials και δημοσιεύει μολυσμένες εκδόσεις πακέτων αυτόματα.
Ποια εργαλεία έχουν ήδη στοχευτεί
Μέσω της παραβίασης του GitHub, η ομάδα ισχυρίζεται ότι απέκτησε πρόσβαση σε ~3.800 εσωτερικά repositories, τα οποία προσφέρει προς πώληση στο BreachForums έναντι τουλάχιστον 50.000 δολαρίων. Σε περίπτωση που δεν βρεθεί αγοραστής, απειλεί με δημόσια διαρροή.
Το περιστατικό αυτό υπενθυμίζει ότι ακόμα και ένα extension του editor σου μπορεί να γίνει πόρτα εισόδου για μια σοβαρή παραβίαση — ακόμα και αν είναι εργαλείο που χρησιμοποιούν εκατομμύρια developers. Αν γράφεις κώδικα επαγγελματικά, αξίζει να επανεξτάσεις ποια extensions έχεις εγκατεστημένα και αν τα ενημερώνεις αυτόματα χωρίς έλεγχο. Η περίπτωση TeamPCP δείχνει ότι η αλυσίδα εμπιστοσύνης στον ανοιχτό κώδικα είναι πιο ευάλωτη απ’ ό,τι πιστεύαμε.
Σου άρεσε το άρθρο;
Υποστήριξε την ανεξάρτητη τεχνολογική ενημέρωση.
Η ομάδα απέσπασε κώδικα από περίπου 3.800 εσωτερικά repositories του GitHub — όχι δεδομένα χρηστών ή πελατών της πλατφόρμας.
Μέσω ενός κακόβουλου VS Code extension που εγκατέστησε ένας υπάλληλος, το οποίο έδωσε στους επιτιθέμενους πρόσβαση στα credentials του.
Αργότερα ταυτοποιήθηκε ως μολυσμένη έκδοση του Nx Console, ενός δημοφιλούς extension με 2,2 εκατομμύρια εγκαταστάσεις.
Σύμφωνα με το GitHub, η έρευνα δεν έχει εντοπίσει ενδείξεις πρόσβασης σε δεδομένα πελατών, αν και η διερεύνηση συνεχίζεται.
Η ομάδα έχει παραβιάσει μεταξύ άλλων τα Trivy, LiteLLM, Checkmarx KICS, Telnyx SDK, TanStack, MistralAI και το @bitwarden/cli.
Με την εγγραφή σας αποδέχεστε την Πολιτική Απορρήτου.
Έρευνα αποκαλύπτει ότι το 35-40% των νέων σελίδων δεν ευρετηριάζεται από τη Google. Τι φταίει και τι σημαίνει για το μέλλον του SEO.
Πόσα GB δεδομένα κινητής χρειάζεσαι τον μήνα; Μάθε πώς να ελέγξεις την κατανάλωσή σου σε iPhone και Android και πώς να θέσεις όριο.
Η Google ανακοίνωσε νέες AI-powered μορφές διαφήμισης για το Search και το AI Mode, με chatbots εταιρειών, εξατομικευμένες προσφορές και αγορά χωρίς έξοδο από την αναζήτηση.
Έρευνα αποκαλύπτει ότι ο αλγόριθμος του YouTube δημιουργεί διαφορετικές πολιτικές «φούσκες» για αντρικά και γυναικεία προφίλ, ακόμα κι όταν ξεκινούν με τα ίδια ενδιαφέροντα.
A project by Κώστας Βλαχάκης
Σχόλια