Auf den Punkt: TeamPCP hat über eine bösartige VS-Code-Extension Zugriff auf 3.800 interne GitHub-Repositories erlangt und versteigert die Daten nun im Untergrund für mindestens 50.000 US-Dollar.
GitHub hat einen unautorisierten Zugriff auf interne Repositories bestätigt, nachdem die Angreifergruppe TeamPCP über eine mit Schadcode versehene Visual-Studio-Code-Extension Zugang zu einem Mitarbeitergerät erlangt hatte. Die erbeuteten Daten werden derzeit in einem Cybercrime-Forum zum Verkauf angeboten.
GitHub hat gegenüber Bleeping Computer und später über den offiziellen X-Account bestätigt, dass es einen unautorisierten Zugriff auf interne Repositories untersucht. Nach eigenen Angaben sind ausschließlich interne Repositories betroffen, es gebe keine Anzeichen für einen Abfluss von Kundendaten. Sollten dennoch Kundeninformationen betroffen sein, will das Unternehmen die Betroffenen direkt über die üblichen Kanäle informieren. Einfallstor war laut GitHub Schadcode in einer Visual-Studio-Code-Extension, die auf dem Gerät eines Mitarbeiters installiert war. Der betroffene Endpunkt wurde isoliert und Incident-Response-Maßnahmen eingeleitet.
Die Angreifergruppe TeamPCP hat den Vorfall in einem Cybercrime-Forum für sich reklamiert und spricht von rund 4.000 kompromittierten Repositories – eine Zahl, die sich weitgehend mit den von GitHub selbst gemeldeten 3.800 Repositories deckt. TeamPCP gilt bereits als Urheber mehrerer jüngerer Supply-Chain-Vorfälle, darunter infizierte npm-Pakete von SAP, ein Angriff auf den quelloffenen Security-Scanner Trivy sowie die Veröffentlichung des Quellcodes für den npm-Wurm Shai-Hulud.
Für Enterprise-Teams unterstreicht der Vorfall erneut die Risiken von IDE-Extensions als Angriffsvektor. Auch offizielle Marktplätze von Microsoft und Eclipse waren in der Vergangenheit wiederholt von Schadcode betroffen – etwa im Oktober 2025 durch den Wurm GlassWorm oder im Frühjahr 2026 durch mehrere Extensions, die vermutlich als Testballons für spätere Ransomware-Kampagnen dienten. Wer VS-Code-Extensions in Entwicklungsumgebungen zulässt, sollte Herkunft, Berechtigungen und Update-Verhalten der installierten Erweiterungen regelmäßig überprüfen und Endpunkte von Entwicklern besonders überwachen.
TeamPCP versteigert die erbeuteten Daten über das Cybercrime-Forum, wobei Gebote unter 50.000 US-Dollar nicht angenommen werden. Die Gruppe betont, kein Lösegeld von GitHub zu fordern, sondern die Daten lediglich an den Höchstbietenden verkaufen zu wollen – findet sich kein Käufer, sollen die Daten kostenlos veröffentlicht werden. Diese Ankündigung lässt trotz der Beteuerungen Zweifel an der Abgrenzung zu klassischer Erpressung offen.
Quelle: www.heise.de · Erschienen 20. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.