TeamPCP, también conocido como PCPcat, ShellForce y DeadCatx3, surgió en diciembre de 2025 como un actor de amenazas nativo de la nube altamente sofisticado, que apunta a APIs de Docker expuestas, clústeres de Kubernetes, paneles de Ray, servidores Redis y vulnerabilidades de React2Shell. 

TeamPCP, también conocido como PCPcat, ShellForce y DeadCatx3, surgió en diciembre de 2025 como un actor de amenazas nativo de la nube altamente sofisticado, dirigido a APIs de Docker expuestas, clústeres de Kubernetes, paneles de Ray, servidores Redis y vulnerabilidades de React2Shell.

El grupo lanzó una campaña masiva diseñada para construir una infraestructura de proxy distribuido y escaneo a gran escala, para luego comprometer servidores y exfiltrar datos, desplegar ransomware, realizar extorsiones y minar criptomonedas.

La actividad alcanzó su punto máximo alrededor del Día de Navidad de 2025, tras lo cual la infraestructura se mantuvo en gran medida inactiva, aunque los miembros celebraron públicamente los datos robados en canales de Telegram.

Lo que distingue a TeamPCP no es la innovación técnica, sino su escala operativa e integración.

La campaña convierte vulnerabilidades bien documentadas en una plataforma de explotación nativa de la nube que transforma la infraestructura expuesta en un ecosistema criminal autopropagante.

Su fuerza radica en la automatización a gran escala más que en exploits novedosos. Los servidores comprometidos se reutilizan para minería de criptomonedas, redes proxy, relés de comando y control, operaciones de escaneo y alojamiento de datos.

Investigadores de Flare identificaron 185 servidores comprometidos ejecutando contenedores desplegados por los atacantes con patrones de comandos estandarizados, lo que proporciona una visión clara de las tácticas de TeamPCP.

Además del nodo principal de comando y control en 67.217.57.240, que apareció en 182 hosts comprometidos, los investigadores también detectaron infraestructura secundaria en 44.252.85.168, observada en tres servidores víctimas adicionales.

La presencia de múltiples puntos de control sugiere redundancia operativa o una migración temprana de infraestructura.

La mayoría de los datos filtrados provienen de países occidentales, con organizaciones de los sectores de comercio electrónico, finanzas y recursos humanos como principales objetivos. La infraestructura en la nube domina entre las víctimas, con Azure representando el 61% y AWS el 36% de los servidores comprometidos, sumando un total del 97% de la infraestructura afectada.

Mecanismo de ataque y propagación similar a un gusano

Las operaciones de TeamPCP comienzan con un escaneo automatizado en rangos masivos de IPs para descubrir APIs de Docker expuestas y paneles de Ray.

Una vez confirmado el acceso, el grupo despliega contenedores maliciosos o trabajos de forma remota a través de APIs de gestión sin autenticación.

En Docker, descargan una imagen de Alpine y lanzan un contenedor en red de host con reinicio automático que recupera y ejecuta scripts remotos. En Ray, envían trabajos que ejecutan cargas útiles de arranque codificadas en base64.

El script proxy.sh actúa como la columna vertebral operativa de la campaña, instalando utilidades proxy, herramientas peer-to-peer, capacidades de túnel y escáneres adicionales que buscan continuamente servidores vulnerables en Internet.

Para garantizar persistencia a largo plazo, el script registra múltiples servicios del sistema, convirtiendo cada host infectado en un nodo de escaneo y retransmisión autónomo.

Cuando se detectan entornos de Kubernetes, el script se bifurca hacia una ruta de ejecución separada y despliega cargas útiles secundarias específicas para clústeres, lo que indica herramientas diferenciadas para objetivos nativos de la nube en lugar de malware genérico para Linux.