De FBI heeft een waarschuwing gegeven voor een groep cybercriminelen genaamd TeamPCP, verantwoordelijk voor allerlei supplychain-aanvallen op softwareprojecten, en adviseert softwareontwikkelaars en organisaties om een minimale package-leeftijd te hanteren (pdf). TeamPCP wordt verantwoordelijk gehouden voor aanvallen waarbij packages van onder andere SAP, Checkmarx, Bitwarden, Lightning, Intercom, Trivy en GitHub van malware werden voorzien.

Zodra ontwikkelaars deze packages downloaden en installeren raakt hun systeem besmet met malware. Deze malware steelt allerlei secrets, zoals tokens, keys en andere credentials van het besmette systeem, en probeert de software te infecteren waar de betreffende ontwikkelaar toegang toe heeft. Op deze manier kan de malware zich verder verspreiden. De FBI adviseert slachtoffers van TeamPCP om hier aangifte van te doen.

In de waarschuwing over TeamPCP doet de FBI ook verschillende aanbevelingen met betrekking tot ontwikkelomgevingen. Zo wordt onder andere aangeraden om nieuwe packages niet meteen te installeren, maar hier een bepaalde tijd mee te wachten. Als voorbeeld geeft de FBI een minimale package-leeftijd van zeven dagen. Ook wordt aangeraden om offline back-ups van belangrijke repositories te hebben, runtime gedragsmonitoring toe te passen, geen hardcoded credentials in code of configuratiebestanden te gebruiken en 'pipeline activity' op verdacht gedrag te monitoren.