Les chercheurs de SentinelLabs ont détecté un nouveau framework malveillant nommé PCPJack, qui cible les identifiants sur des infrastructures cloud exposées et élimine systématiquement les traces du groupe TeamPCP.
Ce malware vise des services comme Docker, Kubernetes, Redis, MongoDB et RayML, ainsi que des applications web vulnérables. L’attaquant effectue souvent un mouvement latéral au sein du réseau.
Liens avec TeamPCP
TeamPCP s’est illustré par des attaques en chaîne d’approvisionnement contre l’outil Trivy d’Aqua Security, les paquets PyPI LiteLMM et Telnyx, et récemment les paquets npm SAP. Les similitudes entre PCPJack et les premières campagnes de TeamPCP en décembre 2025 font penser à un ancien membre du groupe ayant lancé sa propre activité.
Removing TeamPCP artifacts
Source: SentinelLabs
Mode d’infection et nettoyage
PCPJack infecte les systèmes Linux cloud via un script shell baptisé bootstrap.sh. Il crée un répertoire de travail masqué, installe des dépendances Python, télécharge des modules supplémentaires, assure sa persistance et active l’orchestrateur principal monitor.py.
À ce stade, le malware recherche et supprime les outils de TeamPCP, incluant processus, services, conteneurs, fichiers et mécanismes de persistance, pour s’attribuer seul la compromission.
Vol et exfiltration de credentials
Les capacités de PCPJack se concentrent sur le vol de credentials dans les environnements cloud, systèmes de développement, applications de messagerie, services financiers, bases de données, clés SSH, jetons Slack, configurations WordPress, clés OpenAI et Anthropic, Discord ou DigitalOcean.
Les données volées subissent un chiffrement via X25519 ECDH et ChaCha20-Poly1305, avant exfiltration vers des canaux Telegram en paquets de 2800 octets.
Services targeted in PCPJack attacks
Source: SentinelLabs
Propagation et vulnérabilités exploitées
Le malware scanne les infrastructures cloud externes pour des services exposés et exploite des failles connues. Il récupère aussi des données d’hôtes depuis des fichiers Parquet de Common Crawl.
Les vulnérabilités ciblées comprennent CVE-2025-29927 (contournement d’authentification dans Next.js), CVE-2025-55182 (React2Shell dans React/Next.js), CVE-2026-1357 (upload de fichiers dans WPVivid Backup), CVE-2025-9501 (injection PHP dans W3 Total Cache) et CVE-2025-48703 (injection shell dans CentOS Web Panel).
À l’intérieur des systèmes compromis, PCPJack récolte des clés SSH, énumère les clusters Kubernetes et démons Docker, puis se propage vers d’autres hôtes internes. La persistance s’établit par des services systemd, tâches cron, réécritures cron Redis ou conteneurs privilégiés.
Les analystes ont repéré une backdoor basée sur Sliver dans l’infrastructure de l’attaquant, compatible x86_64, x86 et ARM.
Recommandations de défense
Pour contrer ces menaces, SentinelLabs préconise l’activation de l’authentification multifacteur (MFA), l’usage d’IMDSv2 sur AWS, une authentification stricte pour Docker et Kubernetes, le principe du moindre privilège et l’évitement du stockage de secrets en clair.