Investigadores detectaron PCPJack, un nuevo marco de robo de credenciales que ataca infraestructuras en la nube como Docker y Kubernetes. A diferencia de TeamPCP, este gusano no minera criptomonedas, sino que busca lucrarse mediante el fraude, la extorsión y la reventa de accesos robados. El malware se propaga lateralmente, elimina rastros de TeamPCP y exfiltra datos confidenciales a través de Telegram.




Investigadores de ciberseguridad han revelado detalles de un nuevo marco de robo de credenciales llamado PCPJack que se dirige a infraestructuras en la nube expuestas y expulsa cualquier artefacto vinculado a TeamPCP de los entornos. "El conjunto de herramientas recolecta credenciales de servicios en la nube, contenedores, desarrolladores, productividad y servicios financieros, y luego exfiltra los datos a través de infraestructura controlada por el atacante mientras intenta propagarse a hosts adicionales", afirmó Alex Delamotte, investigador de seguridad de SentinelOne, en un informe publicado hoy enlace. PCPJack está diseñado específicamente para atacar servicios en la nube como Docker, Kubernetes, Redis, MongoDB, RayML y aplicaciones web vulnerables, lo que permite a los operadores propagarse de forma similar a un gusano, así como moverse lateralmente dentro de las redes comprometidas. Se estima que el objetivo final de la campaña de ataques en la nube es generar ingresos ilícitos para los actores de amenazas mediante el robo de credenciales, fraude, spam, extorsión o la reventa de accesos robados. https://thehackernews.uk/threatlabz-vpn-risk-2026-d Lo que hace notable esta actividad es que comparte solapamientos significativos de objetivos con TeamPCP, un actor de amenazas que ganó prominencia a finales del año pasado explotando vulnerabilidades de seguridad conocidas (por ejemplo, React2Shell) y configuraciones erróneas en servicios en la nube para enlistar los endpoints en una red en constante expansión para llevar a cabo el robo de datos y otras acciones de post-explotación. Al mismo tiempo, PCPJack carece de un componente de minería de criptomonedas, a diferencia de TeamPCP. Aunque no se sabe por qué no se adoptó esta obvia estrategia de monetización, las similitudes entre los dos clústeres indican que PCPJack podría ser obra de un antiguo miembro de TeamPCP familiarizado con las técnicas del grupo. El punto de partida del ataque es un script de shell de arranque que se utiliza para preparar el entorno —como configurar el host de la carga útil— y descargar las herramientas de la siguiente etapa, mientras simultáneamente toma medidas para infectar su propia infraestructura, terminar y eliminar procesos o artefactos asociados con TeamPCP, instalar Python, establecer persistencia, descargar seis scripts de Python, lanzar el script de orquestación y eliminarse a sí mismo.

Las seis cargas útiles de python son las siguientes

* worm.py (escrito en disco como monitor.py), el orquestador principal que lanza los módulos diseñados, realiza el robo local de credenciales, propaga el conjunto de herramientas a otros hosts explotando fallos conocidos (CVE-2025-55182, CVE-2025-29927, CVE-2026-1357, CVE-2025-9501 y CVE-2025-48703), y utiliza Telegram para el comando y control (C2).
* parser.py (utils.py), para gestionar la extracción de credenciales y categorizar las claves y secretos robados.
* lateral.py (_lat.py), para facilitar el reconocimiento, recolectar secretos y permitir el movimiento lateral a través de servicios SSH, Kubernetes, Docker, Redis, RayML y MongoDB.
* crypto_util.py (_cu.py), para cifrar las credenciales antes de la exfiltración al canal de Telegram del atacante.
* cloud_ranges.py (_cr.py), para recopilar rangos de direcciones IP asignados a AWS, Google Cloud, Microsoft Azure, Cloudflare, Cloudfront y Fastly, y actualizar los datos cada 24 horas.
* cloud_scan.py (_csc.py), para ejecutar el escaneo de puertos en la nube para la propagación externa a través de servicios de Docker, Kubernetes, MongoDB, RayML o Redis. Los objetivos de propagación para el script orquestador provienen de archivos parquet que el gusano extrae directamente de Common Crawl, una organización sin fines de lucro que rastrea la web y proporciona sus archivos y conjuntos de datos al público sin costo adicional. https://thehackernews.uk/ai-cant-stop-d "Al exfiltrar información del sistema y credenciales, el operador de PCPJack incluso recolecta métricas de éxito sobre si TeamPCP ha sido expulsado de los entornos objetivo en un campo 'PCP replaced' enviado al C2", dijo Delamotte. Esto "implica un enfoque directo en las actividades del actor de amenazas en lugar de un puro oportunismo de ataque en la nube". Análisis posteriores de la infraestructura del actor de amenazas han descubierto otro script de shell ("check.sh") que detecta la arquitectura de la CPU y obtiene el binario de Sliver adecuado. También escanea los endpoints del Servicio de Metadatos de Instancia (IMDS), cuentas de servicio de Kubernetes e instancias de Docker en busca de credenciales asociadas con Anthropic, Digital Ocean, Discord, Google API, Grafana Cloud, HashiCorp Vault, OnePassword y OpenAI, y las transmite a un servidor externo. "En general, los dos conjuntos de herramientas están bien desarrollados e indican que el propietario valora la creación de código como un marco modular, a pesar de algunas redundancias en el comportamiento", afirmó SentinelOne. "Esta campaña no despliega mineros y elimina deliberadamente las funciones de minería asociadas con TeamPCP. A pesar de ello, este actor tiene ámbitos bien definidos para la extracción de credenciales de criptomonedas".

Fuente:
THN