PCPJack: Die Cloud-Malware, die große Anmeldeinformationen stiehlt und Rivalen in Kubernetes und Docker auslöst

PCPJack ist ein neuer Malware-Rahmen von SentinelLabs erkannt, der Cloud Wurmtechniken mit einem klaren Ziel kombiniert: stehlen großformatiger Anmeldeinformationen und sicherstellen, dass jede andere vorherige Operation, insbesondere die auf TeamPCP zurückzuführen ist, aus dem kompromittierten System entfernt wird. Sein Modus operandi ist nicht nur auf einen angemessenen Zugang, sondern auch das Opfer durch das Löschen von Prozessen, Dienstleistungen, Containern und persistenten Artefakten anderer Akteure, die sowohl die Erkennung als auch die anfängliche Zuschreibung des Vorfalls erschweren. Über die Neugier der Cross-Band-Rivalität hinaus erhöht dieses Verhalten das operative Risiko für Organisationen mit exponierter Infrastruktur.

Aus technischer Sicht gibt PPPJack Linux-Systeme mit einem Boot-Skript (bootstrap.sh) ein, das ein verstecktes Verzeichnis erstellt, Python Abhängigkeiten installiert, zusätzliche Module herunterlädt und einen Orchestertor (monit.py) startet. Während der Nachbenutzungsphase ist es dem Sammeln von SSH-Tasten, Token und Konfigurationsdateien (z.B. Kubeconfigs und Datenbank-Berechtigungen) gewidmet, seitlich durch Kubbernetes und Docker-Daemon-Cluster zu listen und zu bewegen, und die Persistenz mittels systemd, cron, Rewritings in Redis oder privilegierten Containern festzulegen. Die Exfiltration von Anmeldeinformationen erfolgt an Telegram-Kanäle nach Verschlüsselung von Daten mit X25519 ECDH und ChaCha20-Poly1305, in Fragmente gebrochen, die die Nachrichtengrenzen der Plattform respektieren, was ein Design für Volumen und Widerstandsfähigkeit zeigt.

Zu den dokumentierten Eingabevektoren gehören exponierte Dienste wie Docker, Kubernetes, Reis, Mongol DB, RayML und mehrere Plugins oder Frameworks mit publizierten Sicherheitslücken (mehr aktuelle CVE auf Next.js / React, WordPress und Web-Panels). Darüber hinaus automatisiert PCPJack die Zielsuche, indem Hosts von Sets wie Common Crawl gesenkt werden, um seine Angriffsfläche zu erweitern, so dass es eine Bedrohung sehr effizient für schlecht konfigurierte oder unpatched Infrastruktur und mit hohem Einflusspotenzial in Entwicklungs- und Produktionsumgebungen.

Die Beziehung zu TeamPCP von SentinelLabs-Forschern deutet darauf hin, dass PCPJack von einem Betreiber mit früherer Erfahrung in ähnlichen Kampagnen entwickelt werden könnte; es ist jedoch sinnvoll, mit der Zuschreibung zu umgehen: Werkzeuge und Techniken zirkulieren zwischen Kriminellen, und der Wettbewerb für "Reclaiming"-Verpflichtungen ist eine bekannte Taktik, echte Verbindungen zu verstecken. Um die ursprüngliche technische Analyse und die von den Forschern veröffentlichten Indikatoren zu lesen, siehe den Bericht SentinelOne: SentinelLabs - PCPJack.

Wenn Sie vermuten, dass Ihre Organisation betroffen sein kann, müssen die sofortigen Maßnahmen konkret und schnell sein: Isolat engagierte Gastgeber, bewahren Beweise (Volumen, Speicher fängt und Protokolle), rotieren und widerrufen exponierte Anmelde- und Service-Token, inspizieren CloudTrail / Activity Logs, um ausgehende Bewegungen und Verbindungen zu verfolgen, und betrachten Sie den Widerruf / die Rotation von SSH und API-Tasten. In AWS-Umgebungen wird das IMDSv2 zum Beispiel durch Metadaten ein Vektor von Anmeldediebstahl reduziert und muss von der Überprüfung von Rollen und Richtlinien begleitet werden; AWS-Dokumentation über IMDSv2 bietet praktische Schritte: AWS - Configuring instance Metadata Service.

In Bezug auf Erkennung und nachhaltige Minderung implementieren Sie die Zugriffskontrolle nach dem Prinzip der Mindestrechte, verwenden Sie ephemeral Secret und Anmeldeinformationen Manager anstelle von Konfigurationsdateien mit flachen Textgeheimnissen, aktive MFA auf allen privilegierten Konten und begrenzen die öffentliche Exposition von APIs von Docker und Kubernetes (Block Ports 2375 / 6443 für den öffentlichen Zugang, Anwendung Authentifizierung und TLS). Kontinuierliche Audits, Warnungen über die Schaffung neuer systemierter Dienste oder ungewöhnlicher Cron-Eingänge, das Umschreiben der Überwachung in Reis und die Suche nach Binaries oder Skripten mit Namen wie boottrap.sh oder die Überwachung sind pragmatische Maßnahmen, um Frühinfektionen zu erkennen.

Die Raffinesse von PCPJack - die Verwendung einer robusten Verschlüsselung für die Exfiltration, die automatisierte Ausbeutung bekannter CVE und die Verwendung von Listen von Massenzielen - unterstreicht die Realität: die meisten dieser Angriffe, die von exponierte Konfigurationen und fehlende Patches. Organisationen und Software-Betreuer sollten Korrekturen zu kritischen Web-Komponenten und Bibliotheken priorisieren, CI / CD-Pipelines überprüfen, um Lecks von Geräte-Anmeldeinformationen zu vermeiden und Container-Bild-Governance zu stärken. Um besser zu verstehen, wie Angreifer Ziele auf der öffentlichen Website suchen, sehen Sie bitte die allgemeinen Informationen von Common Crawl: Gemeinsame Crawl.

Schließlich unterschätzen Sie nicht die Notwendigkeit der Zusammenarbeit: teilen Sie die Ergebnisse und IoC mit Ihrem Antwort-Team, Ihrem Cloud-Lieferanten und der Sicherheits-Community, und wenn der Vorfall eine signifikante Exposition von Anmeldeinformationen oder Zugang zu sensiblen Umgebungen, mieten Sie forensische Spezialisten und betrachten Sie eine angemessene regulatorische Benachrichtigung. Die sicherste Hypothese angesichts der Entstehung von Werkzeugen wie PCPJack ist, sich zu engagieren und schnell zu handeln den Verlust von Anmeldeinformationen und enge Wiedereintrittsvektoren enthalten.