Sâu máy tính PCPJack: Loại bỏ mã độc TeamPCP để đánh cắp thông tin xác thực trên đám mây

Một tác nhân đe dọa mới đã tung ra một chiến dịch nhằm "dọn dẹp" các môi trường bị nhiễm bởi nhóm hacker TeamPCP nổi tiếng và triển khai các công cụ độc hại của riêng mình, theo báo cáo từ SentinelOne.

Malware illustration

Hoạt động tích cực từ cuối tháng 4, chiến dịch này dựa vào một khung phần mềm độc hại (malware framework) nhắm mục tiêu đến thông tin xác thực trên nhiều môi trường đám mây khác nhau và có khả năng tự lan truyền. SentinelOne đã đặt tên cho khung phần mềm này là PCPJack, xuất phát từ việc nó tập trung loại bỏ mọi công cụ và dấu vết liên quan đến TeamPCP khỏi hệ thống bị nhiễm.

Cơ chế hoạt động của PCPJack

SentinelOne cho biết: "Nhiều dịch vụ bị nhắm mục tiêu bởi khung PCPJack tương tự như các chiến dịch TeamPCP/PCPCat đầu tiên vào tháng 12/2025... Chúng tôi tin rằng đây có thể là một người vận hành cũ, người am hiểu sâu sắc về các công cụ của nhóm."

Quá trình nhiễm PCPJack bắt đầu bằng một tập lệnh shell Linux thiết lập môi trường và tải xuống các payload bổ sung. Trước tiên, nó sẽ quét hệ thống để tìm các quy trình và dấu vết khớp với nhiễm trùng TeamPCP đã biết và loại bỏ chúng.

Sau đó, tập lệnh tạo một môi trường ảo Python, tải xuống sáu mô-đun từ một bộ chứa AWS S3, đổi tên chúng, thiết lập tính tồn tại (persistence) và khởi chạy mô-đun đầu tiên đóng vai trò là người điều phối khung chính. Cuối cùng, tập lệnh tự xóa chính mình.

Các mô-đun còn lại được thiết kế cho các mục đích cụ thể, bao gồm phân tích thông tin xác thực, di chuyển ngang (lateral movement), mã hóa tin nhắn chỉ huy và kiểm soát (C&C), tra cứu dải IP đám mây và quét đám mây.

Security concept

Mục tiêu và khả năng đánh cắp

Từ hệ thống cục bộ, PCPJack có thể đánh cắp các tệp .env và cấu hình, biến môi trường, khóa SSH, ví tiền điện tử, cũng như thông tin xác thực và mã thông báo cho nhiều ứng dụng web và dịch vụ đám mây. Các nền tảng bị nhắm mục tiêu bao gồm AWS, Kubernetes, Docker, Gmail, GitHub, Office 365/Outlook, RayML, Slack và WordPress.

SentinelOne nhận định: "Các loại thông tin xác thực được thu thập cho thấy động cơ nhắm mục tiêu của PCPJack chủ yếu là để thực hiện các chiến dịch spam và gian lận tài chính, hoặc đơn giản là kiếm tiền từ việc bán thông tin xác thực bị đánh cắp."

Khả năng lan truyền và lỗ hổng được khai thác

PCPJack thực hiện trinh sát hệ thống để xác định các tài sản mà máy tính kết nối, cố gắng di chuyển ngang và tải xuống các tệp Parquet từ Common Crawl để xác định thêm mục tiêu trên internet và cố gắng nhiễm chúng.

Mô-đun lan truyền nhắm vào các lỗ hổng đã biết trong các ứng dụng web, bao gồm:

• CVE-2025-29927 (Next.js)
• CVE-2025-55182 (React2Shell)
• CVE-2026-1357 (Plugin WPVivid Backup cho WordPress)
• CVE-2025-9501 (Plugin W3 Total Cache cho WordPress)
• CVE-2025-48703 (CentOS Web Panel)

Ngoài ra, PCPJack cố gắng sử dụng thông tin xác thực bị đánh cắp để lan truyền qua các triển khai Kubernetes, Docker, Redis, RayML và MongoDB, cũng như tận dụng khóa SSH để thực thi tập lệnh ban đầu trên các máy từ xa. Khung phần mềm sử dụng Telegram cho C&C và mã hóa dữ liệu gửi đến kênh của nó.

Trong quá trình điều tra, SentinelOne cũng đã xác định một bộ công cụ thứ hai liên quan đến tác nhân đe dọa này, bao gồm các implant Sliver và khả năng đánh cắp thông tin xác thực trên hàng chục dịch vụ đám mây như Anthropic, Digital Ocean, Discord, Google API và nhiều dịch vụ khác.