PCPJack: Le malware cloud qui vole les références à grande échelle et efface les rivaux dans Kubernetes et Docker

PCPJack est une nouvelle image de malware détectée par SentinelLabs qui combine les techniques de ver nuage avec un objectif clair: voler des titres de créance à grande échelle et veiller à ce que toute autre opération antérieure, en particulier celle attribuée à TeamPCP, soit retirée du système compromis. Son modus operandi n'est pas seulement pour un accès approprié, mais aussi pour « revendiquer » la victime en supprimant les processus, services, conteneurs et artefacts persistants d'autres acteurs, ce qui complique à la fois la détection et l'attribution initiale de l'incident. Au-delà de la curiosité de la rivalité entre bandes, ce comportement augmente le risque opérationnel pour les organisations qui ont une infrastructure exposée.

D'un point de vue technique, PPPJack entre dans les systèmes Linux avec un script de démarrage (bootstrap.sh) qui crée un répertoire caché, installe les dépendances Python, télécharge des modules supplémentaires et lance un orchestre (monit.py). Au cours de la phase post-exploitation, il est dédié à la collecte des clés SSH, des jetons et des fichiers de configuration (par exemple kubeconfigs et références de base de données), à l'inscription et au déplacement latéral à travers les clusters Kubbernetes et Docker, et à l'établissement de la persistance au moyen de systemd, cron, réécritures dans Redis ou conteneurs privilégiés. L'exfiltration des identifiants est effectuée sur les canaux Telegram après cryptage des données avec X25519 ECDH et ChaCha20-Poly1305, brisés en fragments qui respectent les limites de message de la plateforme, ce qui montre une conception conçue pour le volume et la résilience.

Les vecteurs d'entrée documentés comprennent des services exposés tels que Docker, Kubernetes, Reis, Mongol DB, RayML et plusieurs plugins ou frameworks avec vulnérabilités publiées (plusieurs récents CVE sur Next.js / React, WordPress et web panels). En outre, PCPJack automatise la recherche de cibles en abaissant les hôtes de jeux comme Common Crawl pour étendre sa surface d'attaque, ce qui en fait une menace très efficace pour une infrastructure mal configurée ou non décapée et avec un fort potentiel d'impact dans les environnements de développement et de production.

La relation avec TeamPCP par les chercheurs de SentinelLabs suggère que le PCPJack pourrait être développé par un opérateur ayant une expérience antérieure dans des campagnes similaires; cependant, il convient d'être prudent avec l'attribution: les outils et les techniques circulent entre les criminels, et la concurrence pour les engagements de «reclaiming» est une tactique connue pour cacher les liens réels. Pour lire l'analyse technique originale et les indicateurs publiés par les chercheurs, voir le rapport SentinelOne: SentinelLabs - PCPJack.

Si vous soupçonnez que votre organisation peut être touchée, les mesures immédiates doivent être concrètes et rapides : isoler les hôtes engagés, préserver les preuves (volumes, captures de mémoire et logs), faire pivoter et révoquer les lettres d'identité et les jetons de service exposés, inspecter les journaux CloudTrail / Activity pour suivre les mouvements sortants et les connexions, et envisager la révocation / rotation des clés SSH et API. Dans les environnements AWS, activer et demander IMDSv2 par exemple, les métadonnées réduisent un vecteur de vol d'identité et doivent être accompagnées de l'examen des rôles et des politiques; la documentation AWS sur IMDSv2 propose des étapes pratiques: AWS - Service de configuration des métadonnées d'instance.

En termes de détection et d'atténuation durable, mettre en œuvre le contrôle d'accès selon le principe de privilèges minimums, utiliser des gestionnaires de secrets éphémères et d'identifications au lieu de fichiers de configuration avec des secrets de texte plat, MFA actif sur tous les comptes privilégiés et limiter l'exposition publique des API de Docker et Kubernetes (ports de blocs 2375 / 6443 pour l'accès public, appliquer l'authentification et TLS). L'audit continu, les alertes sur la création de nouveaux services systématisés ou les entrées inhabituelles de cron, la réécriture de la surveillance dans Reis et la recherche de binaires ou de scripts avec des noms comme bootstrap.sh ou la surveillance sont des mesures pragmatiques pour détecter les infections précoces.

La sophistication de PCPJack - l'utilisation d'un cryptage robuste pour l'exfiltration, l'exploitation automatisée de CVE connus et l'utilisation de listes d'objectifs de masse - souligne une réalité: la plupart de ces attaques prospèrent par configurations exposées et absence de correctifs. Les organismes et les responsables de logiciels devraient prioriser les corrections aux composants Web et aux bibliothèques critiques, examiner les pipelines CI/CD pour éviter les fuites de références d'appareils et renforcer la gouvernance de l'image de conteneur. Pour mieux comprendre comment les agresseurs cherchent des cibles sur le site Web public, veuillez consulter les informations générales de Common Crawl: Crawl commun.

Enfin, ne sous-estimez pas la nécessité d'une collaboration : partagez les résultats et l'IoC avec votre équipe d'intervention, votre fournisseur de cloud et la communauté de la sécurité, et si l'incident comporte une exposition importante aux titres de compétence ou à l'accès à des environnements sensibles, embauchez des spécialistes médico-légaux et envisagez une notification réglementaire appropriée. L'hypothèse la plus sûre face à l'émergence d'outils comme PCPJack est de s'engager et d'agir rapidement contenir la perte d'identifications et les vecteurs de rentrée rapprochée.