Un grupo de cibercrimen con motivaciones financieras ha estado comprometiendo entornos en la nube de manera sigilosa desde finales de 2025, y sus actividades están generando una seria preocupación en la comunidad de seguridad. El grupo, conocido como TeamPCP, opera un gusano de autopropagación llamado CanisterWorm que busca APIs de Docker mal aseguradas, clústeres de Kubernetes, servidores Redis y sistemas vulnerables a la falla React2Shell.

Un grupo de cibercrimen con motivación financiera ha estado comprometiendo silenciosamente entornos en la nube desde finales de 2025, y sus actividades están generando una seria preocupación en la comunidad de seguridad.

El grupo, conocido como TeamPCP, opera un gusano de autopropagación llamado CanisterWorm que busca APIs de Docker mal aseguradas, clústeres de Kubernetes, servidores Redis y sistemas vulnerables a la falla React2Shell.

Una vez dentro, el gusano se mueve lateralmente a través de las redes de las víctimas, robando credenciales y extorsionando a organizaciones a través de Telegram. La campaña es amplia, afectando a empresas que ejecutan cargas de trabajo en la nube tanto en Azure como en AWS.

Lo que hace que esta amenaza sea particularmente grave es la escala a la que TeamPCP automatiza sus ataques.

Investigaciones de la firma de seguridad Flare muestran que Azure representa aproximadamente el 61% de los servidores comprometidos, mientras que AWS constituye otro 36%, sumando un total del 97% de toda la infraestructura afectada.

El grupo no depende de exploits nuevos; en su lugar, aprovecha vulnerabilidades conocidas y configuraciones incorrectas en la nube, convirtiendo planos de control expuestos en un ecosistema criminal de autopropagación.

Analistas de KrebsOnSecurity identificaron que la misma infraestructura detrás de estas campañas de robo de datos fue utilizada más tarde para lanzar un ataque de borrado dirigido a sistemas vinculados a Irán.

El 19 de marzo de 2026, TeamPCP escaló sus operaciones lanzando un ataque a la cadena de suministro contra Trivy, un escáner de vulnerabilidades ampliamente utilizado de Aqua Security.

Los atacantes inyectaron malware que roba credenciales en las versiones oficiales de GitHub Actions, recolectando claves SSH, credenciales en la nube, tokens de Kubernetes y billeteras de criptomonedas de usuarios desprevenidos.

Aunque los archivos maliciosos fueron eliminados más tarde, ya se había producido un daño significativo. Durante el fin de semana del 22 al 23 de marzo, el grupo desplegó una nueva carga destructiva que se activa cuando el sistema de la víctima usa la zona horaria de Irán o tiene el farsi configurado como idioma predeterminado.

Charlie Eriksen, investigador de seguridad en Aikido, explicó que si el borrador detecta un clúster de Kubernetes en un sistema iraní, destruirá datos en todos los nodos de ese clúster. Sin un clúster, simplemente borra la máquina local. Este enfoque de segmentación geográfica marca un cambio significativo en el diseño de amenazas, mostrando que grupos con motivación financiera están incorporando lógica específica por ubicación para perseguir objetivos políticamente cargados junto a los financieros.

Eriksen señaló que TeamPCP continuó alardeando en Telegram, afirmando tener acceso a registros sensibles de una gran empresa farmacéutica multinacional.

Este fragmento muestra parte del código malicioso de CanisterWorm dirigido a sistemas que coinciden con la zona horaria de Irán o tienen el farsi como idioma predeterminado.

Infraestructura de Comando Respaldada por Blockchain

Uno de los aspectos técnicamente más llamativos de CanisterWorm es cómo TeamPCP gestiona su infraestructura de ataque.

El grupo utiliza canisters del Protocolo de Computación en Internet (ICP), que son contratos inteligentes basados en blockchain que combinan código y datos en una sola unidad a prueba de manipulaciones.

Estos canisters pueden servir contenido web directamente a los usuarios y, al ejecutarse en una red blockchain distribuida, son muy difíciles de eliminar.

Siempre que los operadores sigan pagando las tarifas requeridas en criptomonedas, los canisters permanecen en línea y activos. La infraestructura muestra un resumen del despliegue de canisters ICP de CanisterWorm documentado por Aikido.

Este enfoque hace que los métodos tradicionales de eliminación sean casi ineficaces. Las fuerzas del orden y los proveedores de hosting suelen combatir el malware incautando servidores, pero una estructura de comando anclada en blockchain elude eso por completo.

TeamPCP también ha sido visto modificando rápidamente su carga útil, añadiendo nuevas funciones, retirando temporalmente el malware e incluso redirigiendo el canister a un video no relacionado de YouTube entre ataques.

Esta constante flexibilidad sugiere que el grupo está probando y refinando activamente sus herramientas en tiempo real, lo que dificulta considerablemente la detección y contención para los defensores.

Las organizaciones que ejecutan Docker, Kubernetes o Redis en entornos en la nube deberían auditar inmediatamente las configuraciones en busca de APIs expuestas y puntos de acceso no autenticados.

Los equipos deberían rotar claves SSH, credenciales en la nube y tokens de Kubernetes, especialmente si Trivy o KICS se utilizaron en pipelines de CI/CD alrededor del 19 al 23 de marzo de 2026.

Se recomienda encarecidamente monitorear el movimiento lateral y el comportamiento basado en la ubicación en los contenedores.

Los propietarios de repositorios de GitHub también deberían revisar sus flujos de trabajo de Actions en busca de cambios no autorizados y aplicar controles de acceso estrictos en los planos de control en la nube para limitar la exposición que grupos como TeamPCP explotan.