Un nouveau framework de malware appelé **PCPJack** vole des identifiants à partir d'infrastructures cloud exposées tout en supprimant activement l'accès de **TeamPCP** aux systèmes. Parmi les services ciblés figurent Docker, Kubernetes, Redis, MongoDB, RayML et des applications web vulnérables. Dans de nombreux cas, l'acteur de la menace se déplace latéralement sur le réseau. Les chercheurs de **SentinelLabs** indiquent que PCPJack semble conçu pour le vol d'identifiants à grande échelle et monétise probablement son activité par le biais de fraudes financières, d'opérations de spam, de revente d'identifiants ou d'extorsion. TeamPCP est un groupe de menace axé sur le cloud, connu pour des atteintes à la chaîne d'approvisionnement de haut niveau contre le scanner **Trivy** d'Aqua Security, les packages PyPI **LiteLMM** et **Telnyx**, et plus récemment, les packages npm de **SAP**. En raison des similitudes avec les attaques de TeamPCP, SentinelLabs pense que PCPJack pourrait avoir été développé par un ancien affilié ou membre de TeamPCP qui a lancé sa propre opération. « Bon nombre des services ciblés par le framework PCPJack sont similaires aux premières campagnes TeamPCP/PCPCat de décembre 2025, avant que les campagnes à haute visibilité de début 2026 n'attirent une attention considérable sur TeamPCP et n'entraînent apparemment des changements dans la composition du groupe », expliquent les chercheurs. « Nous pensons qu'il pourrait s'agir d'un ancien opérateur qui connaît très bien les outils du groupe. » Dans un rapport publié aujourd'hui, SentinelLabs indique que PCPJack infecte les systèmes cloud basés sur Linux à l'aide d'un script shell nommé `bootstrap.sh`. Lors de son exécution, il crée un répertoire de travail caché, installe les dépendances Python, télécharge des modules supplémentaires, établit la persistance et lance l'orchestrateur principal (`monitor.py`). Au cours de cette étape initiale, PCPJack recherche explicitement les outils de TeamPCP et tente de tout supprimer, revendiquant ainsi le compromis pour lui-même. Les chercheurs indiquent que l'activité de nettoyage comprend la suppression des processus, services, conteneurs, fichiers et artefacts de persistance de TeamPCP, éliminant complètement les infections.  **Suppression des artefacts TeamPCP** *Source : SentinelLabs* Les capacités de PCPJack tournent principalement autour du vol d'identifiants, ciblant les environnements cloud, les systèmes de développeurs, les applications de messagerie, les services financiers, les bases de données, les clés SSH, les jetons Slack, les configurations WordPress, les clés OpenAI, les clés Anthropic, Discord, DigitalOcean, et plus encore. Les identifiants sont exfiltrés vers des canaux Telegram après avoir été chiffrés à l'aide de X25519 ECDH et ChaCha20-Poly1305, et divisés en morceaux de 2800 octets, respectant les limites de caractères des messages de Telegram.  **Services ciblés dans les attaques PCPJack** *Source : SentinelLabs* PCPJack se propage en analysant l'infrastructure cloud externe à la recherche de services exposés tels que Docker, Kubernetes, Redis, MongoDB et RayML, puis tente d'exploiter des vulnérabilités connues pour obtenir l'accès. Il télécharge également des données de noms d'hôtes à partir de fichiers parquet de Common Crawl et les utilise comme nouvelles cibles pour le processus de balayage. ### Vulnérabilités exploitées Les chercheurs de SentinelLabs notent que PCPJack exploite les vulnérabilités suivantes : * **CVE-2025-29927** : contournement d'authentification dans le middleware Next.js via un en-tête spécialement conçu * **CVE-2025-55182** (« React2Shell ») : faille de désérialisation des Server Actions dans React et Next.js * **CVE-2026-1357** : téléversement de fichiers non authentifié dans WPVivid Backup * **CVE-2025-9501** : injection PHP dans W3 Total Cache via un commentaire mfunc mis en cache * **CVE-2025-48703** : injection de shell dans la fonctionnalité changePerm du Filemanager de CentOS Web Panel Dans les environnements compromis, le malware effectue des déplacements latéraux en récoltant des clés SSH et des identifiants, en énumérant les clusters Kubernetes et les démons Docker, et en s'exécutant sur les hôtes internes joignables. Une fois l'accès obtenu, il établit la persistance à l'aide de services systemd, de tâches cron, de réécritures de cron Redis ou de conteneurs privilégiés avant de poursuivre sa propagation. SentinelLabs a également trouvé une **backdoor** basée sur **Sliver** sur l'infrastructure de l'acteur de la menace, avec des variantes pour prendre en charge les architectures système x86_64, x86 et ARM. ### Stratégies d'atténuation Pour atténuer ce risque, les chercheurs recommandent d'appliquer l'authentification multifacteur (MFA), d'utiliser IMDSv2 dans AWS, d'assurer une authentification appropriée pour les services Docker et Kubernetes, de suivre les principes du moindre privilège et d'éviter de stocker les secrets en clair.