Modulares Hacking-Framework kompromittiert Cloud-Dienste PCPJack stiehlt Cloud-Zugangsdaten und verdrängt Konkurrent TeamPCP

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

PCPJack ist ein modulares Framework, das Cloud-Zugangsdaten aus Entwicklerdiensten, Container-Plattformen und Datenbanken stiehlt. Es entfernt dabei aktiv Artefakte des Konkurrenten TeamPCP aus befallenen Systemen, was auf einen ehemaligen TeamPCP-Akteur als Urheber hin­deu­tet. Die Verbreitung erfolgt wurmartig über Common Crawl und fünf be­kan­nte Schwachstellen.

Sicherheitsforscher von SentinelOne haben ein bislang unbekanntes Toolset analysiert, das offen erreichbare Cloud-Infrastruktur kompromittiert. PCPJack sammelt Zugangsdaten aus Cloud-Plattformen, Container-Umgebungen, Entwicklerwerkzeugen sowie Produktiv- und Finanzdiensten und schleust sie über eine vom Angreifer kontrollierte Infrastruktur aus. Die Operatoren verfolgen Einnahmen durch Betrug, Spam, Erpressung und den Weiterverkauf gestohlener Zugänge. Auffällig ist die enge Verbindung zu TeamPCP, einem Akteur, dessen Artefakte das neue Toolset aktiv aus befallenen Systemen entfernt. Security-Insider berichtete bereits über PCPJacks Verdrängung von TeamPCP-Artefakten. Der folgende Beitrag analysiert die technische Infrastruktur des Toolsets im Detail.

Kriminelle Konkurrenz

Hacker verdrängen andere Hacker aus kompromittierten Cloud-Systemen

Bootstrap-Skript bereitet die Infektion vor

Der Angriff beginnt mit einem Shell-Skript, das die Umgebung präpariert und Folge-Kom­po­nen­ten nachlädt. Es konfiguriert den Host für die Schadlast, beendet und löscht Prozesse sowie Artefakte von TeamPCP, installiert Python und richtet eine Persistenz ein. Anschließend lädt das Skript sechs Python-Dateien herunter, startet die Orchestrierung und löscht sich selbst. Der Ablauf verschleiert den Ursprung und reduziert forensische Spuren.

Sechs Module mit fester Aufgabenteilung

PCPJack arbeitet modular. Sechs Python-Dateien übernehmen jeweils eine eng umrissene Funktion:

• Orchestrierung: Die Hauptkomponente steuert die übrigen Module, greift lokale Zugangsdaten ab und verbreitet das Toolset über die Schwachstellen CVE-2025-29927, CVE-2025-48703, CVE-2026-1357, CVE-2025-55182 und CVE-2025-9501. Die Steuerung läuft über Telegram.

• Extraktion: Ein Parser sortiert erbeutete Schlüssel und Geheimnisse nach Kategorien.

• Lateral Movement: Ein Modul übernimmt Aufklärung und Seitwärtsbewegung über SSH, Kubernetes, Docker, Redis, RayML und MongoDB.

• Verschlüsselung: Vor dem Abfluss in den Telegram-Kanal sichert eine eigene Routine die gesammelten Daten kryptografisch.

• IP-Bereiche: Ein Modul sammelt die Adressräume von Microsoft Azure, Fastly, Amazon Web Services (AWS), Cloudflare, Google Cloud und Cloudfront und aktualisiert sie alle 24 Stunden.

• Port-Scan: Eine Komponente sucht extern erreichbare Dienste für Docker, Kubernetes, MongoDB, RayML und Redis.

Die Ziele für die Verbreitung bezieht die Hauptkomponente aus Parquet-Dateien, die das Toolset direkt von Common Crawl lädt. Das Non-Profit-Projekt durchsucht das Web und stellt seine Datensätze kostenfrei bereit.

TeamPCP griff EU und Cisco an

Massive Supply-Chain-Angriffe über Trivy-Tool und Telnyx-PyPI

Direkter Angriff auf einen Konkurrenten

Die Überschneidungen mit TeamPCP fallen deutlich aus. Der Akteur erlangte Ende 2025 Be­kannt­heit, indem er bekannte Schwachstellen, darunter React2Shell, und Fehlkonfigurationen in Cloud-Diensten ausnutzte, um Endpunkte für Datendiebstahl zu kapern. PCPJack verzichtet auf eine Komponente zum Schürfen von Kryptowährung, die bei TeamPCP zum Einsatz kommt. Die übrigen Gemeinsamkeiten deuten laut SentinelOne darauf hin, dass hinter PCPJack ein früheres Mitglied von TeamPCP steckt.

Der enge Fokus auf den Rivalen zeigt sich in einem Detail der C2-Kommunikation. Das Toolset meldet in einem Feld mit der Bezeichnung "PCP replaced", ob TeamPCP aus einer Zielumgebung entfernt wurde. Eine weitere Datei mit dem Namen "check.sh" erkennt die CPU-Architektur und lädt das passende Sliver-Binary nach. Sie durchsucht IMDS-Endpunkte (Instance Metadata Service), Kubernetes-Service-Accounts und Docker-Instanzen nach Zugangsdaten für OpenAI, HashiCorp Vault, Anthropic, Discord, Grafana Cloud, Digital Ocean, OnePassword und die Google API und überträgt die Funde an einen externen Server.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Fazit

PCPJack zeigt einen modularen Aufbau und eine breite Sammlung von Angriffstechniken gegen Cloud-Dienste. Der Verzicht auf das Krypto-Mining bei gleichzeitigem Diebstahl von Krypto-Zugangsdaten verweist auf ein verändertes Geschäftsmodell. Die aktive Verdrängung von TeamPCP unterscheidet die Kampagne von rein opportunistischen Cloud-Angriffen.

(ID:50865036)