PCPJack: o malware na nuvem que rouba credenciais em grande escala e apaga rivais em Kubernetes e Docker

PCPJack É um novo marco de malware detectado por SentinelLabs que combina técnicas de verme de nuvem com um claro objetivo: roubar credenciais em grande escala e garantir que qualquer outra operação prévia, em particular a atribuída à TeamPCP, seja eliminada do sistema comprometido. Seu modus operandi não é apenas apropriar-se de acessos, mas também “reclamar” a vítima apagando processos, serviços, contentores e artefatos de persistência de outros atores, o que complica tanto a detecção como a atribuição inicial do incidente. Além da curiosidade da rivalidade entre bandas, este comportamento aumenta o risco operacional para organizações com infra-estruturas expostas.

Do ponto de vista técnico, o PCPJack entra em sistemas Linux com um programa de arranque (bootstrap.sh) que cria uma pasta escondida, instala dependências Python, descarrega módulos adicionais e lança um orquestrador (monitor.py). Durante a fase de pós-explotação dedica-se a coletar chaves SSH, tokens e arquivos de configuração (por exemplo kubeconfigs e credenciais de bases de dados), a enumerar e mover-se lateralmente por clusters Kubernetes e daemons de Docker, e a estabelecer persistência por systemd, cron, reescritas em Redis ou contêineres privilegiados. A ex-filtração de credenciais é feita para canais do Telegram após criptografar os dados com X25519 ECDH e ChaCha20-Poly1305, partido em fragmentos que respeitam os limites de mensagens da plataforma, o que mostra um design pensado para volume e resiliência.

Os vetores de entrada documentados incluem serviços expostos como Docker, Kubernetes, Redis, MongoDB, RayML e múltiplos plugins ou frameworks com vulnerabilidades publicadas (vários CVE recentes em Next.js/React, WordPress e painéis web). Além disso, PCPJack automatiza a busca de objetivos baixando hostnames de conjuntos como Common Crawl para ampliar sua superfície de ataque, o que o torna uma ameaça muito eficiente para infra-estruturas mal configuradas ou sem adesivo e com um elevado potencial de impacto em ambientes de desenvolvimento e produção.

A relação com a TeamPCP que os pesquisadores de SentinelLabs propõem que o PCPJack pode ser desenvolvido por um operador com experiência prévia em campanhas semelhantes; no entanto, convém ser prudente com a atribuição: ferramentas e técnicas circulam entre criminosos, e a competência por “reclamar” compromissos é uma tática conhecida para ocultar ligações reais. Para ler a análise técnica original e os indicadores publicados pelos pesquisadores, consulte o relatório do SentinelOne: SentinelLabs - PCPJack.

Se suspeitar que sua organização pode estar afetada, as ações imediatas devem ser concretas e véus: isolar os hosts comprometidos, preservar evidências (volúmenes, capturas de memória e logs), rotar e revogar credenciais expostas e tokens de serviços, inspeccionar CloudTrail/Activity Logs para rastrear movimentos e conexões salientes, e considerar a revogação/rotação de chaves SSH e de API. Em ambientes AWS, ativar e exigir IMDSv2 para metadados de instância reduz um vetor de roubo de credenciais e deve ser acompanhado da revisão de papéis e políticas; a documentação da AWS sobre IMDSv2 oferece passos práticos: AWS - Configuring Instance Metadata Service.

Em termos de detecção e mitigação sustentada, implemente controle de acesso pelo princípio de mínimos privilégios, use gestores de segredos e credenciais efímeras em vez de arquivos de configuração com segredos em texto plano, active MFA em todas as contas com privilégios e limite a exposição pública de APIs de Docker e Kubernetes (bloquear portos 2375/6443 para acesso público, aplicar autenticação e TLS). Auditoria contínua, alertas sobre a criação de novos serviços systemd ou entradas cron incomuns, monitoramento de reescritas em Redis e busca de binários ou scripts com nomes como bootstrap.sh ou monitor.py são medidas pragmáticas para detectar infecções precoces.

A sofisticação do PCPJack — uso de criptografia robusto para exfiltração, exploração automatizada de CVE conhecidos e aproveitamento de listas de objetivos em massa — destaca uma realidade: a maioria desses ataques prosperam por configurações expostas e falta de patches. Organizações e mantenedores de software devem priorizar correções em componentes web e bibliotecas críticas, revisar pipelines de CI/CD para evitar vazamentos de credenciais em artefatos e fortalecer a governança de imagens de recipiente. Para entender melhor como os atacantes buscam objetivos na web pública, você pode consultar a informação geral de Common Crawl: Common Crawl.

Finalmente, não subestime a necessidade de colaboração: partilhe achados e IoC com sua equipe de resposta, seu provedor de nuvem e comunidade de segurança, e se o incidente implica exposição significativa de credenciais ou acesso a ambientes sensíveis, contrate especialistas forenses e considere a notificação regulatória correspondente. A hipótese mais segura diante do aparecimento de ferramentas como PCPJack é assumir compromisso e agir rapidamente Para conter a perda de credenciais e fechar vetores de reentrada.