El inframundo del cibercrimen está convirtiendo los ataques a la cadena de suministro de código abierto en una competencia retorcida.

Después de meses de infiltrarse en herramientas de seguridad y tuberías de CI/CD, el notorio grupo de hacking TeamPCP se ha asociado con BreachForums para lanzar un nuevo y perturbador concurso.

El objetivo es compilar tantos paquetes de código abierto como sea posible. El premio, sin embargo, es un pago sorprendentemente pequeño de 1.000 dólares en criptomoneda Monero.

Según la inteligencia de amenazas de la dark web, el concurso requiere que los participantes desplieguen una herramienta de ataque de código abierto llamada "Shai-Hulud".

Los hackers deben enviar sus alias del foro y proporcionar pruebas de acceso para calificar.

Los ganadores se determinan mediante el recuento semanal y mensual de descargas de los paquetes que infecten.

Al permitir que los atacantes combinen los recuentos de descarga de múltiples paquetes pequeños, el sistema de puntuación fomenta activamente ataques temerarios, similares a gusanos, que se propagan indiscriminadamente por todo el ecosistema de software.

Lanzan concurso de cadena de suministro

Aunque la amenaza a la cadena de suministro es grave, la recompensa de 1.000 dólares es cómicamente baja para el daño que se está causando.

Los ataques exitosos a la cadena de suministro exponen activos altamente valiosos, incluidos secretos de CI/CD, credenciales de la nube, tokens de desarrollador y código fuente empresarial.

Para los cibercriminales experimentados, este nivel de acceso vale muchísimo más que mil dólares. Los expertos en seguridad ven este concurso como una maniobra estratégica de reclutamiento público.

Está diseñado para atraer a hackers de nivel inferior que están dispuestos a quemar accesos valiosos simplemente por reputación y para presumir en los foros de cibercrimen.

Al externalizar estos ataques, TeamPCP está engañando eficazmente a los hackers novatos para que hagan el trabajo pesado. Al mismo tiempo, ellos cosechan las recompensas más amplias de la infraestructura comprometida.

TeamPCP tiene un historial bien documentado de atacar infraestructuras críticas, GitHub Actions, imágenes de Docker y gestores de paquetes como npm y PyPI.

Se especializan en vulnerar herramientas que ya poseen acceso privilegiado, lo que les permite recolectar credenciales para ataques secundarios.

Según la investigación de Socket, el grupo se asoció recientemente con el sindicato de ransomware Vect, cuyas operaciones de robo de credenciales ya están afectando a empresas de IA, servicios gubernamentales en la nube, manufactura y tecnología empresarial.

Al lanzar Shai-Hulud como una herramienta de código abierto, TeamPCP está expandiendo su red de corretaje de accesos.

Un premio de 1.000 dólares podría no atraer a los actores de amenazas de élite. Sin embargo, para los mantenedores sobrecargados y los equipos de seguridad empresarial, la ola resultante de ataques imitadores añade una nueva y peligrosa capa de riesgo al ecosistema de código abierto.