一、事件核心全貌打破认知的反向供应链攻击2026年3月全球爆发连环开源供应链投毒事件绝大多数企业安全团队初期完全失察。本次攻击发起者为TeamPCP黑客组织两名核心成员已于近期被澳大利亚联邦警方逮捕面临十余项刑事指控。警方与跨境安全机构联合取证数据显示该组织攻击周期长、链路完整、针对性极强累计入侵全球1000政企、互联网、科技机构窃取50万组各类权限凭据泄露、窃取数据总量达300GB。本次事件区别于普通npm、PyPI单点包投毒最核心的颠覆点在于攻击者没有瞄准普通业务依赖库而是精准拿下了企业用来做安全自检、漏洞扫描、合规检测的核心工具链。Trivy容器漏洞扫描器、Checkmarx KICS代码合规扫描工具、LiteLLM AI大模型网关三类产品是当下DevSecOps体系的标准基建几乎覆盖90%以上的云原生、AI研发企业。传统供应链攻击是恶意依赖库被业务代码引入被动触发风险。TeamPCP的攻击逻辑完全反向企业主动在CI/CD流水线、本地研发环境、服务器运维环境中主动下载、安装、运行被投毒的安全工具。防御工具本身变成入侵入口企业的安全自检流程直接变成黑客的窃密、留后门、横向移动通道。同时本次事件完全区别于同期ChainDrop蠕虫攻击。ChainDrop以npm包自我复制、批量传播为核心攻击门槛低、覆盖面广、破坏力弱。TeamPCP全程采用凭证劫持链式渗透静默驻留的高阶打法从上游安全工具源码仓库、CI流水线配置、包管理平台权限层层突破逐级收割下游资产攻击精准、隐蔽、持久危害等级远超普通蠕虫传播。很多企业事后复盘发现自身早已被入侵数月但常规安全设备、扫描工具、审计日志均未告警。核心原因就是企业默认信任官方安全工具不会对Trivy、KICS这类合规工具做恶意行为审计形成天然防御盲区。二、TeamPCP完整攻击链路可视化溯源本次连环攻击不是单次漏洞利用而是一套完整的五阶段杀伤链从权限劫持、工具投毒、环境窃密、凭证收割、横向扩散到持久驻留形成闭环攻击体系。下面通过架构流程图完整还原攻击全路径。2.1 整体攻击架构流程图初始突破盗取开源维护者凭据劫持Trivy GitHub/Docker资产篡改76个版本标签推送恶意镜像/代码企业CI/CD自动拉取恶意Trivy执行窃取流水线Token、云密钥、SSH凭据利用窃取凭证入侵Checkmarx KICS二次投毒扩大安全工具风险面劫持LiteLLM PyPI发布权限推送恶意版本1.82.7/1.82.8植入.pth全局后门实现Python全局触发静默窃取AI密钥、K8s凭据、业务数据加密回传数据 留持久后门 横向移动批量收割企业资产 暗网倒卖数据2.2 分阶段技术细节深度拆解整个攻击链路环环相扣每一个环节的技术手法都针对企业现有防御机制做了规避设计这也是本次攻击大范围泛滥的核心原因。第一阶段核心安全工具Trivy全面沦陷TeamPCP最先突破的是Aqua Security旗下Trivy漏洞扫描工具。攻击者通过社工、爆破、弱口令复用组合方式获取Trivy官方仓库高权限维护凭据直接接管GitHub仓库、Docker Hub镜像仓库、版本标签管理权限。本次劫持并非修改单个版本而是批量篡改trivy-action、setup-trivy仓库共计76个版本标签仅一个老旧版本未被篡改。绝大多数企业CI/CD流水线采用固定版本标签部署而非固定commit哈希值只要流水线重启、工具更新就会自动拉取攻击者控制的恶意版本。同时攻击者在Docker Hub推送无官方备案的恶意镜像v0.69.5、v0.69.6覆盖主流部署场景。恶意Trivy二进制文件具备极强的隐身能力运行过程中会正常执行漏洞扫描逻辑输出合规扫描报告完全不影响企业正常研发流程。后台静默执行五阶段恶意载荷读取GitHub Actions运行内存、服务器本地文件、环境变量批量采集Git Token、云厂商AK/SK、SSH私钥、数据库密码、K8s配置凭据采集完成后通过RSA-4096加密回传至攻击者C2服务器全程无明文传输规避基础流量审计。第二阶段横向渗透Checkmarx KICS击穿代码合规防线攻击者通过Trivy流水线窃取的企业与开源项目维护凭据完成横向移动成功入侵Checkmarx KICS开源静态代码扫描工具。KICS是企业代码合规、漏洞自查的核心工具广泛用于金融、政企、大型互联网公司的代码审计流程。这一阶段的攻击逻辑彻底打破企业分区防御思维。企业普遍认为业务系统、对外服务是风险重点内部安全工具、审计工具绝对可信。攻击者利用这种固有认知将恶意代码植入合规扫描工具让企业的代码审计流程主动执行恶意载荷实现内网环境的深度扎根。此阶段攻击进一步收割各类研发团队私有凭据为后续AI中间件入侵铺垫权限基础。第三阶段精准打击LiteLLM实现全局Python环境沦陷LiteLLM是当下最主流的AI大模型网关中间件日下载量340万次月下载量超9500万次大量AI创业公司、企业AI业务、开源项目均依赖该组件统一对接OpenAI、Anthropic、通义千问等大模型接口。TeamPCP利用前两阶段收割的PyPI维护者Token伪造官方发布流程推送1.82.7、1.82.8两个恶意版本。两个版本的恶意逻辑分层设计杀伤力逐级递增。1.82.7版本仅在库被导入时触发窃密逻辑1.82.8版本新增核心杀伤手段——植入litellm_init.pth文件。绝大多数开发者不了解Python.pth机制site-packages目录下的.pth文件会在Python解释器启动瞬间自动加载执行无需业务代码import对应库无需手动调用任何接口。服务器Python脚本、自动化任务、CI构建、本地开发调试、Jupyter笔记只要启动Python进程恶意代码就会自动触发。这意味着只要安装恶意LiteLLM版本整台服务器、研发设备的Python环境彻底失守。第四阶段多维度数据窃取与集群横向控制恶意载荷启动后会执行三阶段攻击逻辑覆盖凭据窃取、集群控制、持久驻留三大能力。第一批量扫描系统环境、配置文件、隐藏目录采集50类以上敏感凭据包含AI大模型API密钥、云资源密钥、K8s集群证书、SSH密钥、数据库账号密码。第二加载K8s横向移动工具包读取集群kubeconfig配置获取集群管理员权限窃取容器镜像、业务配置、核心数据控制整个业务集群。第三写入持久化后门保证即使恶意LiteLLM版本被卸载后门依然留存持续接收攻击者远程指令。第五阶段数据变现与规模化收割攻击者将窃取的50万组凭据、300GB脱敏原始数据整理打包在暗网挂牌拍卖针对政企、金融、AI企业数据定向溢价销售。同时利用留存后门持续监控受害企业研发动态、业务数据、权限变更实现长期潜伏持续窃取资产。澳大利亚警方最终通过资金链路、暗网交易日志、C2服务器溯源锁定两名核心嫌疑人并实施抓捕。三、TeamPCP攻击核心技术难点深度解析本次攻击能够大规模泛滥、长期不被发现核心在于攻击者利用了大量开发者、安全人员的认知盲区与工具底层机制漏洞并非依靠高危CVE漏洞传统漏洞库、IPS、WAF设备完全无法识别拦截。3.1 Python .pth文件无感知触发机制核心高危点常规Python恶意包投毒必须依赖业务代码import对应库触发条件有限企业可以通过依赖审计、代码扫描规避风险。TeamPCP使用的.pth驻留机制彻底绕过所有常规检测逻辑。Python解释器启动流程固定初始化环境 - 加载site模块 - 遍历site-packages下所有.pth文件 - 逐行执行文件内代码 - 启动业务进程。整个过程不依赖任何业务调用属于解释器底层固有逻辑。恶意版本植入的litellm_init.pth体积34KB内置加密载荷、C2通信模块、凭据采集规则、持久化逻辑。所有Python进程启动都会静默执行恶意代码包括离线本地脚本、内网自动化任务、后台守护进程完全脱离外网业务监控范围。3.2 安全工具信任链崩塌逻辑DevSecOps体系的核心信任逻辑是官方开源安全工具 绝对可信。企业所有安全策略、审计规则、白名单机制都会默认放行Trivy、KICS这类主流工具的所有行为。攻击者精准利用这一信任机制让恶意代码以“安全审计工具”的身份运行。工具的文件读取、网络请求、内存扫描、进程拉起行为都会被安全设备判定为合法运维行为不会触发告警。企业相当于主动给黑客开放了内网最高权限入口。3.3 链式凭证劫持的传播逻辑本次攻击不是单点投毒是典型的链式传染。攻陷Trivy获取CI/CD凭据利用CI凭据攻陷KICS利用KICS维护权限收割PyPI Token最终攻陷LiteLLM。每一级攻击获取的权限都成为下一级渗透的跳板风险层层放大从单一工具漏洞演变为全链路供应链崩塌。这种攻击模式的最大危害是企业单点整改完全无效。只卸载LiteLLM恶意版本、只更新Trivy工具无法清除前期被窃取的各类凭据攻击者依然可以通过被盗权限二次入侵。四、企业全场景批量检测实战脚本可直接复制针对TeamPCP攻击特征编写三套落地检测脚本分别适配服务器环境、Python研发环境、CI/CD流水线环境所有脚本无依赖、可直接执行、输出清晰结果适配CentOS、Ubuntu、MacOS系统。4.1 Python环境恶意版本与.pth后门查杀脚本#!/usr/bin/env python3# TeamPCP LiteLLM恶意版本 .pth后门查杀脚本# 适配所有Python环境全局检测一键执行importosimportsysimportsite# 定义恶意版本与后门文件特征MALICIOUS_VERSIONS[1.82.7,1.82.8]BACKDOOR_PTHlitellm_init.pthC2_DOMAIN_FEATUREmodels.litellm.clouddefcheck_litellm_version():try:importlitellm current_verlitellm.__version__ifcurrent_verinMALICIOUS_VERSIONS:print(f[高危] 检测到恶意LiteLLM版本:{current_ver})returnTrueelse:print(f[正常] 当前LiteLLM版本:{current_ver})returnFalseexceptImportError:print([无害] 未安装LiteLLM组件)returnFalsedefcheck_pth_backdoor():site_pathssite.getsitepackages()has_backdoorFalseforpathinsite_paths:pth_pathos.path.join(path,BACKDOOR_PTH)ifos.path.exists(pth_path):print(f[高危] 发现后门文件:{pth_path})# 读取文件检测C2特征withopen(pth_path,r,encodingutf-8,errorsignore)asf:contentf.read()ifC2_DOMAIN_FEATUREincontent:print(f[致命] 后门文件包含TeamPCP专属C2域名)has_backdoorTrueifnothas_backdoor:print([正常] 未检测到.pth后门文件)returnhas_backdoordefmain():print( TeamPCP Python环境安全检测开始 )v_rescheck_litellm_version()p_rescheck_pth_backdoor()print( 检测完成 )ifv_resorp_res:print([紧急告警] 当前环境存在TeamPCP攻击残留需立即清理并轮换密钥)sys.exit(1)else:print([安全] 当前环境无TeamPCP恶意特征)sys.exit(0)if__name____main__:main()4.2 服务器环境Trivy恶意镜像/版本检测脚本#!/bin/bash# TeamPCP 恶意Trivy镜像/版本检测脚本# 适配Linux服务器、Docker环境set-eecho 开始检测恶意Trivy资产 # 检测恶意镜像版本MALICIOUS_TRIVY(0.69.40.69.50.69.6)forverin${MALICIOUS_TRIVY[]};doifdockerimages|grep-q$ver;thenecho[高危] 发现恶意Trivy镜像版本:$verfidone# 检测本地Trivy二进制版本ifcommand-vtrivy/dev/null21;thenTRIVY_VER$(trivy--version|head-n1|awk{print $2})if[[${MALICIOUS_TRIVY[]}~${TRIVY_VER}]];thenecho[高危] 本地Trivy为恶意投毒版本:$TRIVY_VERelseecho[正常] 本地Trivy版本安全:$TRIVY_VERfielseecho[提示] 本地未安装Trivyfi# 检测Docker Hub异常镜像缓存echo 检测Docker异常缓存镜像 dockerimages|grep-Etrivy|aquasec|grep-vofficialecho 检测结束 4.3 CI/CD流水线凭据泄露风险检测脚本#!/bin/bash# CI/CD环境敏感凭据泄露风险检测# 检测被TeamPCP重点窃取的凭据类型echo CI/CD环境敏感凭据检测 LEAK_KEYS(GITHUB_TOKENPYPI_TOKENDOCKER_HUB_TOKENAWS_SECRETALIYUN_SKKUBE_CONFIGSSH_PRIVATE_KEY)forkeyin${LEAK_KEYS[]};doif[-n${!key}];thenecho[风险] 环境变量存在高危凭据:$key疑似被窃取风险需立即轮换fidone# 检测流水线历史日志残留echo 检测流水线日志敏感信息 find./-name*.log-o-name*.out|xargsgrep-ltoken\|secret\|key\|password2/dev/null|head-10echo 检测完成 五、分场景应急清理与修复落地流程检测出风险后不能仅简单卸载恶意组件必须按照「清理后门-重置权限-轮换密钥-加固防御」的流程闭环处置否则攻击者可通过留存权限二次入侵。下面是适配所有企业场景的标准化修复流程。5.1 个人/研发设备应急修复1. 执行上述Python查杀脚本确认恶意LiteLLM版本与.pth后门文件位置手动删除litellm_init.pth2. 强制卸载恶意版本安装安全干净版本1.82.63. 清空Python site-packages缓存、pip缓存4. 轮换本机所有SSH密钥、云工具凭据、本地开发Token5. 重启所有Python进程、终端、开发服务确保后门完全失效。# 一键清理恶意版本pip uninstall-ylitellm pipinstalllitellm1.82.6# 清理缓存与后门rm-rf~/.cache/pipfind/-namelitellm_init.pth-delete2/dev/null5.2 服务器/生产环境修复1. 停止所有Python业务进程、自动化任务、CI常驻进程2. 批量查杀.pth后门文件删除所有恶意LiteLLM版本3. 清理恶意Trivy镜像、二进制文件重新拉取官方签名镜像4. 重置服务器所有环境变量凭据、kubeconfig配置、数据库密钥5. 检查服务器定时任务、开机自启项排查持久化后门6. 重启服务器确保所有恶意进程彻底终止。5.3 CI/CD流水线全局修复最关键1. 暂停所有流水线构建任务阻断恶意代码执行链路2. 批量轮换GitHub、GitLab、PyPI、Docker Hub所有发布Token、仓库权限密钥3. 修改所有流水线配置放弃版本标签引用强制锁定commit哈希值部署4. 开启流水线构件签名校验、来源溯源审计5. 清理流水线历史日志、缓存构件删除所有可疑构建产物6. 最小化流水线运行账号权限禁止流水线读取全局环境变量密钥。六、企业长效供应链防御加固方案可直接落地TeamPCP攻击暴露的不是单一工具漏洞是企业供应链防御体系的系统性缺陷。常规的依赖漏洞扫描、版本更新无法抵御此类高阶攻击必须从信任机制、权限管控、运行隔离、审计溯源四个维度重构防御体系。6.1 打破安全工具固有信任链企业必须摒弃“安全工具绝对可信”的固有思维。所有第三方开源工具无论是否是主流安全产品全部纳入同等安全审计范围。Trivy、KICS、SonarQube这类审计工具运行时必须开启行为监控、网络拦截、文件读取审计禁止工具无限制读取环境变量、密钥文件、系统配置。6.2 CI/CD权限最小化硬核加固1. 所有流水线账号禁止配置全局高权限Token按需授权、单次有效2. 流水线运行环境与生产环境、密钥存储环境物理隔离禁止互通3. 禁止使用latest、固定标签版本部署工具全部锁定精准commit哈希4. 所有第三方工具、依赖包强制开启签名校验、溯源校验5. 流水线输出日志脱敏禁止明文输出任何密钥、Token信息。6.3 Python环境专项防护规避.pth类后门1. 生产环境禁止随意安装开源Python包所有依赖统一内部私有仓库托管、审核2. 新增.pth文件监控告警规则一旦检测到陌生.pth文件自动拦截告警3. 禁用Python解释器全局自动执行权限业务环境隔离运行4. 定期批量扫描site-packages目录可疑文件建立常态化巡检机制。6.4 供应链风险常态化巡检机制每周执行批量依赖版本审计、工具镜像溯源审计、凭据权限轮换审计将本文检测脚本纳入自动化运维任务定时全网扫描。针对AI中间件、安全工具、CI组件等高风险资产建立单独的风险台账重点监控版本更新、权限变更、网络外联行为。七、本次攻击带来的行业前瞻性思考TeamPCP攻击是AI时代软件供应链攻击的标志性事件预示着未来黑客攻击方向的彻底转变。早期供应链攻击瞄准业务漏洞、普通依赖库未来攻击会持续向底层基建、安全工具、AI中间件、研发基础设施转移。AI行业的快速发展让LiteLLM这类中间件成为全网通用基建海量企业高度依赖一旦沦陷即可实现全网规模化入侵。同时企业安全团队普遍不熟悉Python底层机制、CI/CD运行逻辑、包发布链路存在大量认知盲区防御能力完全滞后于攻击手段。更关键的是本次攻击泄露的50万组凭据会长期存在于暗网流通后续会衍生出批量撞库、二次入侵、钓鱼攻击。企业即使完成本次修复未来半年内依然存在极高的次生风险必须持续做好密钥轮换、权限审计、行为监控。未来企业供应链安全的核心竞争力不再是漏洞扫描数量、合规报告完整性而是对可信边界的管控能力、对未知攻击的感知能力、对基础设施的溯源能力。放弃固有信任认知建立零信任供应链体系是唯一的长效防御手段。八、互动讨论1. 你的企业CI/CD流水线是否还在使用版本标签部署Trivy、KICS等安全工具是否完成commit哈希锁定整改2. 你们团队是否有针对Python .pth文件的专项监控策略日常运维中是否关注过解释器底层执行风险
TeamPCP供应链攻击溯源排查与企业防御实战教程
一、事件核心全貌打破认知的反向供应链攻击2026年3月全球爆发连环开源供应链投毒事件绝大多数企业安全团队初期完全失察。本次攻击发起者为TeamPCP黑客组织两名核心成员已于近期被澳大利亚联邦警方逮捕面临十余项刑事指控。警方与跨境安全机构联合取证数据显示该组织攻击周期长、链路完整、针对性极强累计入侵全球1000政企、互联网、科技机构窃取50万组各类权限凭据泄露、窃取数据总量达300GB。本次事件区别于普通npm、PyPI单点包投毒最核心的颠覆点在于攻击者没有瞄准普通业务依赖库而是精准拿下了企业用来做安全自检、漏洞扫描、合规检测的核心工具链。Trivy容器漏洞扫描器、Checkmarx KICS代码合规扫描工具、LiteLLM AI大模型网关三类产品是当下DevSecOps体系的标准基建几乎覆盖90%以上的云原生、AI研发企业。传统供应链攻击是恶意依赖库被业务代码引入被动触发风险。TeamPCP的攻击逻辑完全反向企业主动在CI/CD流水线、本地研发环境、服务器运维环境中主动下载、安装、运行被投毒的安全工具。防御工具本身变成入侵入口企业的安全自检流程直接变成黑客的窃密、留后门、横向移动通道。同时本次事件完全区别于同期ChainDrop蠕虫攻击。ChainDrop以npm包自我复制、批量传播为核心攻击门槛低、覆盖面广、破坏力弱。TeamPCP全程采用凭证劫持链式渗透静默驻留的高阶打法从上游安全工具源码仓库、CI流水线配置、包管理平台权限层层突破逐级收割下游资产攻击精准、隐蔽、持久危害等级远超普通蠕虫传播。很多企业事后复盘发现自身早已被入侵数月但常规安全设备、扫描工具、审计日志均未告警。核心原因就是企业默认信任官方安全工具不会对Trivy、KICS这类合规工具做恶意行为审计形成天然防御盲区。二、TeamPCP完整攻击链路可视化溯源本次连环攻击不是单次漏洞利用而是一套完整的五阶段杀伤链从权限劫持、工具投毒、环境窃密、凭证收割、横向扩散到持久驻留形成闭环攻击体系。下面通过架构流程图完整还原攻击全路径。2.1 整体攻击架构流程图初始突破盗取开源维护者凭据劫持Trivy GitHub/Docker资产篡改76个版本标签推送恶意镜像/代码企业CI/CD自动拉取恶意Trivy执行窃取流水线Token、云密钥、SSH凭据利用窃取凭证入侵Checkmarx KICS二次投毒扩大安全工具风险面劫持LiteLLM PyPI发布权限推送恶意版本1.82.7/1.82.8植入.pth全局后门实现Python全局触发静默窃取AI密钥、K8s凭据、业务数据加密回传数据 留持久后门 横向移动批量收割企业资产 暗网倒卖数据2.2 分阶段技术细节深度拆解整个攻击链路环环相扣每一个环节的技术手法都针对企业现有防御机制做了规避设计这也是本次攻击大范围泛滥的核心原因。第一阶段核心安全工具Trivy全面沦陷TeamPCP最先突破的是Aqua Security旗下Trivy漏洞扫描工具。攻击者通过社工、爆破、弱口令复用组合方式获取Trivy官方仓库高权限维护凭据直接接管GitHub仓库、Docker Hub镜像仓库、版本标签管理权限。本次劫持并非修改单个版本而是批量篡改trivy-action、setup-trivy仓库共计76个版本标签仅一个老旧版本未被篡改。绝大多数企业CI/CD流水线采用固定版本标签部署而非固定commit哈希值只要流水线重启、工具更新就会自动拉取攻击者控制的恶意版本。同时攻击者在Docker Hub推送无官方备案的恶意镜像v0.69.5、v0.69.6覆盖主流部署场景。恶意Trivy二进制文件具备极强的隐身能力运行过程中会正常执行漏洞扫描逻辑输出合规扫描报告完全不影响企业正常研发流程。后台静默执行五阶段恶意载荷读取GitHub Actions运行内存、服务器本地文件、环境变量批量采集Git Token、云厂商AK/SK、SSH私钥、数据库密码、K8s配置凭据采集完成后通过RSA-4096加密回传至攻击者C2服务器全程无明文传输规避基础流量审计。第二阶段横向渗透Checkmarx KICS击穿代码合规防线攻击者通过Trivy流水线窃取的企业与开源项目维护凭据完成横向移动成功入侵Checkmarx KICS开源静态代码扫描工具。KICS是企业代码合规、漏洞自查的核心工具广泛用于金融、政企、大型互联网公司的代码审计流程。这一阶段的攻击逻辑彻底打破企业分区防御思维。企业普遍认为业务系统、对外服务是风险重点内部安全工具、审计工具绝对可信。攻击者利用这种固有认知将恶意代码植入合规扫描工具让企业的代码审计流程主动执行恶意载荷实现内网环境的深度扎根。此阶段攻击进一步收割各类研发团队私有凭据为后续AI中间件入侵铺垫权限基础。第三阶段精准打击LiteLLM实现全局Python环境沦陷LiteLLM是当下最主流的AI大模型网关中间件日下载量340万次月下载量超9500万次大量AI创业公司、企业AI业务、开源项目均依赖该组件统一对接OpenAI、Anthropic、通义千问等大模型接口。TeamPCP利用前两阶段收割的PyPI维护者Token伪造官方发布流程推送1.82.7、1.82.8两个恶意版本。两个版本的恶意逻辑分层设计杀伤力逐级递增。1.82.7版本仅在库被导入时触发窃密逻辑1.82.8版本新增核心杀伤手段——植入litellm_init.pth文件。绝大多数开发者不了解Python.pth机制site-packages目录下的.pth文件会在Python解释器启动瞬间自动加载执行无需业务代码import对应库无需手动调用任何接口。服务器Python脚本、自动化任务、CI构建、本地开发调试、Jupyter笔记只要启动Python进程恶意代码就会自动触发。这意味着只要安装恶意LiteLLM版本整台服务器、研发设备的Python环境彻底失守。第四阶段多维度数据窃取与集群横向控制恶意载荷启动后会执行三阶段攻击逻辑覆盖凭据窃取、集群控制、持久驻留三大能力。第一批量扫描系统环境、配置文件、隐藏目录采集50类以上敏感凭据包含AI大模型API密钥、云资源密钥、K8s集群证书、SSH密钥、数据库账号密码。第二加载K8s横向移动工具包读取集群kubeconfig配置获取集群管理员权限窃取容器镜像、业务配置、核心数据控制整个业务集群。第三写入持久化后门保证即使恶意LiteLLM版本被卸载后门依然留存持续接收攻击者远程指令。第五阶段数据变现与规模化收割攻击者将窃取的50万组凭据、300GB脱敏原始数据整理打包在暗网挂牌拍卖针对政企、金融、AI企业数据定向溢价销售。同时利用留存后门持续监控受害企业研发动态、业务数据、权限变更实现长期潜伏持续窃取资产。澳大利亚警方最终通过资金链路、暗网交易日志、C2服务器溯源锁定两名核心嫌疑人并实施抓捕。三、TeamPCP攻击核心技术难点深度解析本次攻击能够大规模泛滥、长期不被发现核心在于攻击者利用了大量开发者、安全人员的认知盲区与工具底层机制漏洞并非依靠高危CVE漏洞传统漏洞库、IPS、WAF设备完全无法识别拦截。3.1 Python .pth文件无感知触发机制核心高危点常规Python恶意包投毒必须依赖业务代码import对应库触发条件有限企业可以通过依赖审计、代码扫描规避风险。TeamPCP使用的.pth驻留机制彻底绕过所有常规检测逻辑。Python解释器启动流程固定初始化环境 - 加载site模块 - 遍历site-packages下所有.pth文件 - 逐行执行文件内代码 - 启动业务进程。整个过程不依赖任何业务调用属于解释器底层固有逻辑。恶意版本植入的litellm_init.pth体积34KB内置加密载荷、C2通信模块、凭据采集规则、持久化逻辑。所有Python进程启动都会静默执行恶意代码包括离线本地脚本、内网自动化任务、后台守护进程完全脱离外网业务监控范围。3.2 安全工具信任链崩塌逻辑DevSecOps体系的核心信任逻辑是官方开源安全工具 绝对可信。企业所有安全策略、审计规则、白名单机制都会默认放行Trivy、KICS这类主流工具的所有行为。攻击者精准利用这一信任机制让恶意代码以“安全审计工具”的身份运行。工具的文件读取、网络请求、内存扫描、进程拉起行为都会被安全设备判定为合法运维行为不会触发告警。企业相当于主动给黑客开放了内网最高权限入口。3.3 链式凭证劫持的传播逻辑本次攻击不是单点投毒是典型的链式传染。攻陷Trivy获取CI/CD凭据利用CI凭据攻陷KICS利用KICS维护权限收割PyPI Token最终攻陷LiteLLM。每一级攻击获取的权限都成为下一级渗透的跳板风险层层放大从单一工具漏洞演变为全链路供应链崩塌。这种攻击模式的最大危害是企业单点整改完全无效。只卸载LiteLLM恶意版本、只更新Trivy工具无法清除前期被窃取的各类凭据攻击者依然可以通过被盗权限二次入侵。四、企业全场景批量检测实战脚本可直接复制针对TeamPCP攻击特征编写三套落地检测脚本分别适配服务器环境、Python研发环境、CI/CD流水线环境所有脚本无依赖、可直接执行、输出清晰结果适配CentOS、Ubuntu、MacOS系统。4.1 Python环境恶意版本与.pth后门查杀脚本#!/usr/bin/env python3# TeamPCP LiteLLM恶意版本 .pth后门查杀脚本# 适配所有Python环境全局检测一键执行importosimportsysimportsite# 定义恶意版本与后门文件特征MALICIOUS_VERSIONS[1.82.7,1.82.8]BACKDOOR_PTHlitellm_init.pthC2_DOMAIN_FEATUREmodels.litellm.clouddefcheck_litellm_version():try:importlitellm current_verlitellm.__version__ifcurrent_verinMALICIOUS_VERSIONS:print(f[高危] 检测到恶意LiteLLM版本:{current_ver})returnTrueelse:print(f[正常] 当前LiteLLM版本:{current_ver})returnFalseexceptImportError:print([无害] 未安装LiteLLM组件)returnFalsedefcheck_pth_backdoor():site_pathssite.getsitepackages()has_backdoorFalseforpathinsite_paths:pth_pathos.path.join(path,BACKDOOR_PTH)ifos.path.exists(pth_path):print(f[高危] 发现后门文件:{pth_path})# 读取文件检测C2特征withopen(pth_path,r,encodingutf-8,errorsignore)asf:contentf.read()ifC2_DOMAIN_FEATUREincontent:print(f[致命] 后门文件包含TeamPCP专属C2域名)has_backdoorTrueifnothas_backdoor:print([正常] 未检测到.pth后门文件)returnhas_backdoordefmain():print( TeamPCP Python环境安全检测开始 )v_rescheck_litellm_version()p_rescheck_pth_backdoor()print( 检测完成 )ifv_resorp_res:print([紧急告警] 当前环境存在TeamPCP攻击残留需立即清理并轮换密钥)sys.exit(1)else:print([安全] 当前环境无TeamPCP恶意特征)sys.exit(0)if__name____main__:main()4.2 服务器环境Trivy恶意镜像/版本检测脚本#!/bin/bash# TeamPCP 恶意Trivy镜像/版本检测脚本# 适配Linux服务器、Docker环境set-eecho 开始检测恶意Trivy资产 # 检测恶意镜像版本MALICIOUS_TRIVY(0.69.40.69.50.69.6)forverin${MALICIOUS_TRIVY[]};doifdockerimages|grep-q$ver;thenecho[高危] 发现恶意Trivy镜像版本:$verfidone# 检测本地Trivy二进制版本ifcommand-vtrivy/dev/null21;thenTRIVY_VER$(trivy--version|head-n1|awk{print $2})if[[${MALICIOUS_TRIVY[]}~${TRIVY_VER}]];thenecho[高危] 本地Trivy为恶意投毒版本:$TRIVY_VERelseecho[正常] 本地Trivy版本安全:$TRIVY_VERfielseecho[提示] 本地未安装Trivyfi# 检测Docker Hub异常镜像缓存echo 检测Docker异常缓存镜像 dockerimages|grep-Etrivy|aquasec|grep-vofficialecho 检测结束 4.3 CI/CD流水线凭据泄露风险检测脚本#!/bin/bash# CI/CD环境敏感凭据泄露风险检测# 检测被TeamPCP重点窃取的凭据类型echo CI/CD环境敏感凭据检测 LEAK_KEYS(GITHUB_TOKENPYPI_TOKENDOCKER_HUB_TOKENAWS_SECRETALIYUN_SKKUBE_CONFIGSSH_PRIVATE_KEY)forkeyin${LEAK_KEYS[]};doif[-n${!key}];thenecho[风险] 环境变量存在高危凭据:$key疑似被窃取风险需立即轮换fidone# 检测流水线历史日志残留echo 检测流水线日志敏感信息 find./-name*.log-o-name*.out|xargsgrep-ltoken\|secret\|key\|password2/dev/null|head-10echo 检测完成 五、分场景应急清理与修复落地流程检测出风险后不能仅简单卸载恶意组件必须按照「清理后门-重置权限-轮换密钥-加固防御」的流程闭环处置否则攻击者可通过留存权限二次入侵。下面是适配所有企业场景的标准化修复流程。5.1 个人/研发设备应急修复1. 执行上述Python查杀脚本确认恶意LiteLLM版本与.pth后门文件位置手动删除litellm_init.pth2. 强制卸载恶意版本安装安全干净版本1.82.63. 清空Python site-packages缓存、pip缓存4. 轮换本机所有SSH密钥、云工具凭据、本地开发Token5. 重启所有Python进程、终端、开发服务确保后门完全失效。# 一键清理恶意版本pip uninstall-ylitellm pipinstalllitellm1.82.6# 清理缓存与后门rm-rf~/.cache/pipfind/-namelitellm_init.pth-delete2/dev/null5.2 服务器/生产环境修复1. 停止所有Python业务进程、自动化任务、CI常驻进程2. 批量查杀.pth后门文件删除所有恶意LiteLLM版本3. 清理恶意Trivy镜像、二进制文件重新拉取官方签名镜像4. 重置服务器所有环境变量凭据、kubeconfig配置、数据库密钥5. 检查服务器定时任务、开机自启项排查持久化后门6. 重启服务器确保所有恶意进程彻底终止。5.3 CI/CD流水线全局修复最关键1. 暂停所有流水线构建任务阻断恶意代码执行链路2. 批量轮换GitHub、GitLab、PyPI、Docker Hub所有发布Token、仓库权限密钥3. 修改所有流水线配置放弃版本标签引用强制锁定commit哈希值部署4. 开启流水线构件签名校验、来源溯源审计5. 清理流水线历史日志、缓存构件删除所有可疑构建产物6. 最小化流水线运行账号权限禁止流水线读取全局环境变量密钥。六、企业长效供应链防御加固方案可直接落地TeamPCP攻击暴露的不是单一工具漏洞是企业供应链防御体系的系统性缺陷。常规的依赖漏洞扫描、版本更新无法抵御此类高阶攻击必须从信任机制、权限管控、运行隔离、审计溯源四个维度重构防御体系。6.1 打破安全工具固有信任链企业必须摒弃“安全工具绝对可信”的固有思维。所有第三方开源工具无论是否是主流安全产品全部纳入同等安全审计范围。Trivy、KICS、SonarQube这类审计工具运行时必须开启行为监控、网络拦截、文件读取审计禁止工具无限制读取环境变量、密钥文件、系统配置。6.2 CI/CD权限最小化硬核加固1. 所有流水线账号禁止配置全局高权限Token按需授权、单次有效2. 流水线运行环境与生产环境、密钥存储环境物理隔离禁止互通3. 禁止使用latest、固定标签版本部署工具全部锁定精准commit哈希4. 所有第三方工具、依赖包强制开启签名校验、溯源校验5. 流水线输出日志脱敏禁止明文输出任何密钥、Token信息。6.3 Python环境专项防护规避.pth类后门1. 生产环境禁止随意安装开源Python包所有依赖统一内部私有仓库托管、审核2. 新增.pth文件监控告警规则一旦检测到陌生.pth文件自动拦截告警3. 禁用Python解释器全局自动执行权限业务环境隔离运行4. 定期批量扫描site-packages目录可疑文件建立常态化巡检机制。6.4 供应链风险常态化巡检机制每周执行批量依赖版本审计、工具镜像溯源审计、凭据权限轮换审计将本文检测脚本纳入自动化运维任务定时全网扫描。针对AI中间件、安全工具、CI组件等高风险资产建立单独的风险台账重点监控版本更新、权限变更、网络外联行为。七、本次攻击带来的行业前瞻性思考TeamPCP攻击是AI时代软件供应链攻击的标志性事件预示着未来黑客攻击方向的彻底转变。早期供应链攻击瞄准业务漏洞、普通依赖库未来攻击会持续向底层基建、安全工具、AI中间件、研发基础设施转移。AI行业的快速发展让LiteLLM这类中间件成为全网通用基建海量企业高度依赖一旦沦陷即可实现全网规模化入侵。同时企业安全团队普遍不熟悉Python底层机制、CI/CD运行逻辑、包发布链路存在大量认知盲区防御能力完全滞后于攻击手段。更关键的是本次攻击泄露的50万组凭据会长期存在于暗网流通后续会衍生出批量撞库、二次入侵、钓鱼攻击。企业即使完成本次修复未来半年内依然存在极高的次生风险必须持续做好密钥轮换、权限审计、行为监控。未来企业供应链安全的核心竞争力不再是漏洞扫描数量、合规报告完整性而是对可信边界的管控能力、对未知攻击的感知能力、对基础设施的溯源能力。放弃固有信任认知建立零信任供应链体系是唯一的长效防御手段。八、互动讨论1. 你的企业CI/CD流水线是否还在使用版本标签部署Trivy、KICS等安全工具是否完成commit哈希锁定整改2. 你们团队是否有针对Python .pth文件的专项监控策略日常运维中是否关注过解释器底层执行风险