- 美国联邦调查局（FBI）于2026年7月2日发布了一份关于TeamPCP犯罪集团的FLASH警报，详细介绍了其针对开发和安全工具的大规模软件供应链攻击，目的是窃取凭证。
- TeamPCP通过向合法软件包中注入恶意代码，入侵了包括Trivy、KICS、LiteLLM和Telnyx Python SDK在内的工具，这些恶意软件包随后通过正常渠道分发，并被拉入CI/CD管道。
- 该组织部署了四个恶意软件家族：CanisterWorm、SANDCLOCK、Mini Shai-Hulud和Miasma，窃取云令牌、API密钥、Kubernetes密钥和加密货币数据，其中蠕虫在npm和PyPI注册表中自主传播。
- 攻击方法包括利用过期的恢复电子邮件域名劫持npm维护者账户，使用密码重置发布恶意软件包版本。