New PCPJack worm steals credentials, cleans TeamPCP infections

PCPJackと呼ばれる新しいマルウェア・フレームワークは、TeamPCPのシステムへのアクセスを積極的に排除しながら、公開されたクラウド・インフラストラクチャから認証情報を盗んでいる。

標的とされているサービスには、Docker、Kubernetes、Redis、MongoDB、RayML、脆弱なWebアプリケーションなどがあります。多くの場合、脅威の主体はネットワーク上を横方向に移動する。

SentinelLabsの研究者によると、PCPJackは大規模なクレデンシャルの窃取を目的として設計されており、おそらく金銭詐欺、スパム操作、クレデンシャルの転売、または恐喝によってその活動を収益化しています。

TeamPCPは、Aqua SecurityのTrivyスキャナー、LiteLMMと TelnyxのPyPIパッケージ、そして最近ではSAPのnpmパッケージに対する有名なサプライチェーン侵害で知られる、クラウドに特化した脅威グループです。

TeamPCPの攻撃との類似性から、SentinelLabsは、PCPJackは、独自の活動を開始した元TeamPCPの関連会社またはメンバーによって開発された可能性があると考えています。

「PCPJackフレームワークが標的とするサービスの多くは、2025年12月に行われた初期のTeamPCP/PCCatキャンペーンと類似しており、2026年初頭の知名度の高いキャンペーンがTeamPCPに大きな注目を集め、グループメンバーの変更につながったと言われています。

「我々は、このグループのツールに精通した元オペレーターの可能性があると考えている。

PCPJackはbootstrap.shと呼ばれるシェルスクリプトを使ってLinuxベースのクラウドシステムに感染する。

実行されると、隠し作業ディレクトリが作成され、Pythonの依存関係がインストールされ、追加モジュールがダウンロードされ、永続性が確立され、メインのオーケストレータ（monitor.py）が起動されます。

この初期段階で、PCPJackは明示的にTeamPCPツールの有無をチェックし、すべてを削除しようとする。

研究者によると、クリーニング活動には、TeamPCPプロセス、サービス、コンテナ、ファイル、および永続化アーティファクトの削除が含まれ、感染を完全に排除します。

Removing TeamPCP artifacts
TeamPCPアーティファクトの削除
Source：SentinelLabs

PCPJackの機能は主にクレデンシャルの盗難を中心に展開し、クラウド環境、開発者システム、メッセンジャーアプリ、金融サービス、データベース、SSHキー、Slackトークン、WordPressコンフィグ、OpenAIキー、Anthropicキー、Discord、DigitalOceanなどをターゲットにしています。

認証情報は、X25519 ECDHとChaCha20-Poly1305を使用して暗号化された後、Telegramチャンネルに流出し、Telegramのメッセージ文字数制限を尊重して2800バイトのチャンクに分割される。

Targeted credentials
PCPJack攻撃で標的とされたサービス
ソースはこちら：SentinelLabs

PCPJackは、Docker、Kubernetes、Redis、MongoDB、RayMLといった外部のクラウドインフラストラクチャをスキャンして公開されているサービスを探し出し、既知の脆弱性を悪用してアクセスを試みることで伝播します。

また、Common Crawlのパーケットファイルからホスト名データをダウンロードし、スキャンプロセスの新たなターゲットとして使用する。

SentinelLabsの研究者は、PCPJackが以下の脆弱性を悪用していると指摘している：

  • CVE-2025-29927：細工されたヘッダを介したNext.jsミドルウェアの認証バイパス
  • CVE-2025-55182 (“React2Shell”):React および Next.js におけるサーバアクションのデシリアライズの欠陥
  • CVE-2026-1357: WPVivid Backup における未認証のファイルアップロード
  • CVE-2025-9501: キャッシュされた mfunc コメントを経由した W3 Total Cache の PHP インジェクション
  • CVE-2025-48703: CentOS Web Panel Filemanager の changePerm 機能におけるシェルインジェクション

侵害された環境内で、マルウェアはSSHキーと認証情報を取得し、KubernetesクラスタとDockerデーモンを列挙し、到達可能な内部ホスト上で自身を実行することで、横方向の移動を行います。

アクセス権を取得すると、systemdサービス、cronジョブ、Redis cron書き換え、特権コンテナなどを使用して永続性を確立し、増殖を続けます。

SentinelLabsはまた、脅威行為者のインフラストラクチャ上でSliverベースのバックドアを発見し、x86_64、x86、ARMシステムアーキテクチャをサポートする亜種を発見しました。

このリスクを軽減するために、研究者は、多要素認証（MFA）の実施、AWSでのIMDSv2の使用、DockerおよびKubernetesサービスの適切な認証の確保、最小特権原則の遵守、平文での秘密の保存の回避を推奨している。