**PCPJack** es un nuevo framework de robo de credenciales que apunta específicamente a entornos en la nube, diseñado para robar credenciales y eliminar rastros del grupo **TeamPCP**. Según un informe de **SentinelOne**, el framework se dirige a servicios en la nube, de contenedores, de desarrolladores, de productividad y financieros, exfiltrando datos a través de infraestructura controlada por el atacante e intentando propagarse a hosts adicionales. ### Modus Operandi de PCPJack **PCPJack** está diseñado para atacar servicios como Docker, Kubernetes, Redis, MongoDB y RayML, así como aplicaciones web vulnerables. Esto permite a los actores de amenazas propagarse de forma similar a un gusano y moverse lateralmente dentro de las redes comprometidas. El objetivo principal parece ser generar ingresos ilícitos a través del robo de credenciales, fraude, spam, extorsión o la reventa de accesos robados. ### Similitudes y Diferencias con TeamPCP Esta campaña comparte importantes solapamientos de objetivos con **TeamPCP**, un grupo conocido por explotar vulnerabilidades como **React2Shell** y malas configuraciones en servicios en la nube para el robo de datos y otras actividades post-explotación. Sin embargo, a diferencia de **TeamPCP**, **PCPJack** carece de un componente de minería de criptomonedas. Las similitudes sugieren que **PCPJack** podría ser obra de un ex miembro de **TeamPCP** familiarizado con las tácticas del grupo. ### Ciclo de Ataque El ataque comienza con un script de arranque (bootstrap shell script) que configura el entorno, descarga herramientas de la siguiente etapa e infecta su propia infraestructura. Este script también termina y elimina procesos o artefactos asociados con **TeamPCP**, instala Python, establece persistencia, descarga seis scripts de Python, lanza el script de orquestación y luego se elimina a sí mismo.  ### Payloads de Python Los seis payloads de Python utilizados por **PCPJack** son: * **worm.py** (monitor.py): El orquestador principal que lanza módulos, realiza robo de credenciales local, propaga el conjunto de herramientas explotando fallas conocidas (**CVE-2025-55182**, **CVE-2025-29927**, **CVE-2026-1357**, **CVE-2025-9501**, y **CVE-2025-48703**), y utiliza Telegram para comando y control (C2). * **parser.py** (utils.py): Maneja la extracción de credenciales para categorizar claves y secretos robados. * **lateral.py** (_lat.py): Facilita el reconocimiento, cosecha secretos y permite el movimiento lateral a través de servicios SSH, Kubernetes, Docker, Redis, RayML y MongoDB. * **crypto_util.py** (_cu.py): Cifra las credenciales antes de la exfiltración al canal de Telegram del atacante. * **cloud_ranges.py** (_cr.py): Recopila rangos de direcciones IP asignados a **Amazon Web Services (AWS)**, **Google Cloud**, **Microsoft Azure**, **Cloudflare**, **Cloudfront** y **Fastly**, actualizando los datos cada 24 horas. * **cloud_scan.py** (_csc.py): Ejecuta escaneo de puertos en la nube para propagación externa a través de servicios Docker, Kubernetes, MongoDB, RayML o Redis. ### Propagación y Exfiltración de Datos El script orquestador extrae objetivos de propagación directamente de Common Crawl. Durante la exfiltración de datos, el operador de **PCPJack** recopila métricas sobre si **TeamPCP** ha sido eliminado de los entornos objetivo, lo que indica un enfoque directo en la interrupción de las actividades de **TeamPCP**. ### Análisis Adicional de Infraestructura Un análisis más detallado reveló un script de shell ("check.sh") que detecta la arquitectura de la CPU y descarga el binario **Sliver** apropiado. También escanea los puntos finales del Servicio de Metadatos de Instancia (IMDS), las cuentas de servicio de Kubernetes y las instancias de Docker en busca de credenciales asociadas con Anthropic, Digital Ocean, Discord, Google API, Grafana Cloud, HashiCorp Vault, OnePassword y OpenAI, y las transmite a un servidor externo. ### Evaluación de SentinelOne **SentinelOne** evalúa que los dos conjuntos de herramientas están bien desarrollados y son modulares, a pesar de algunas redundancias. La campaña elimina deliberadamente las funciones de minería asociadas con **TeamPCP**, pero el actor aún tiene alcances bien definidos para extraer credenciales de criptomonedas.