Um grupo ainda não identificado de hackers está invadindo sistemas que já haviam sido comprometidos pelo grupo cibercriminoso TeamPCP, removendo as ferramentas usadas pelos invasores originais e assumindo o controle das máquinas. A campanha foi identificada pela empresa de cibersegurança SentinelOne e recebeu o nome de “PCPJack”.
Segundo a empresa, os invasores usam o acesso para instalar códigos capazes de se espalhar por diferentes infraestruturas de nuvem, roubar credenciais e enviar os dados obtidos para sua própria infraestrutura. A operação tem foco financeiro, com monetização baseada na revenda de credenciais, venda de acesso aos sistemas comprometidos ou extorsão das vítimas.
TeamPCP esteve ligado a ataques recentes
O TeamPCP chamou atenção nas últimas semanas após ser associado a uma série de ataques de grande repercussão. Entre eles estão uma invasão à infraestrutura em nuvem da Comissão Europeia e um ataque ao scanner de vulnerabilidades Trivy.
O incidente envolvendo o Trivy afetou empresas que utilizavam a ferramenta, incluindo a LiteLLM e a startup de recrutamento com IA Mercor.
Pesquisadora levanta três hipóteses sobre autores
Alex Delamotte, pesquisadora sênior da SentinelOne responsável por descobrir a campanha, afirmou ao TechCrunch que ainda não é possível identificar quem está por trás do PCPJack. Segundo ela, há três possibilidades consideradas pela empresa.
Os responsáveis pelos ataques podem ser ex-integrantes insatisfeitos do TeamPCP, integrantes de um grupo rival ou ainda uma terceira parte que decidiu modelar suas ferramentas com base nas campanhas anteriores do próprio TeamPCP, muitas delas voltadas para infraestrutura em nuvem.
“Os serviços visados pelo PCPJack se assemelham fortemente às campanhas do TeamPCP de dezembro e janeiro, antes da suposta mudança de membros do grupo que aconteceu em fevereiro e março”, afirmou Delamotte ao TechCrunch.
Ataques também miram serviços expostos
De acordo com a SentinelOne, os hackers não atacam apenas sistemas previamente comprometidos pelo TeamPCP. O grupo também procura serviços expostos na internet, incluindo a plataforma Docker e bancos de dados MongoDB.
Ainda assim, a empresa afirmou que o foco principal aparenta ser os ambientes comprometidos anteriormente pelo TeamPCP. As ferramentas usadas pelo grupo mantêm inclusive uma contagem de quantos alvos tiveram o TeamPCP removido com sucesso, enviando essas informações de volta à infraestrutura dos próprios invasores.
Grupo evita mineração de criptomoedas
Segundo Delamotte, os invasores não tentam instalar softwares de mineração de criptomoedas nos sistemas comprometidos. A avaliação da pesquisadora é que esse tipo de operação exige mais tempo para gerar retorno financeiro.
A SentinelOne também identificou o uso de domínios que sugerem campanhas de phishing voltadas ao roubo de credenciais de gerenciadores de senhas, além da criação de falsos sites de suporte técnico.
O post Hackers atacam sistemas já invadidos por grupo rival apareceu primeiro em Olhar Digital.
