PCPJack 蠕虫窃取云凭证，清除 TeamPCP 感染

执行摘要

一种新的自我传播恶意软件框架，被称为PCPJack，正在积极窃取暴露的云基础设施中的凭证——包括Docker、Kubernetes、Redis、MongoDB和RayML——同时故意移除同一系统中的竞争感染。SentinelLabs的研究人员在2026年5月7日报导了这一活动，指出PCPJack似乎是为了大规模凭证盗窃而设计的，可能通过金融欺诈、垃圾邮件操作、凭证转售或敲诈进行货币化。该蠕虫明确针对并清理已知威胁组织TeamPCP留下的工件，导致SentinelLabs以中等信心评估PCPJack是由前TeamPCP成员或关联者开发，他们开始了自己的行动。

技术分析

PCPJack通过一个名为bootstrap.sh的shell脚本感染基于Linux的云系统。执行后，脚本创建一个隐藏的工作目录，安装Python依赖项，下载额外模块，建立持久性，并启动主协调器（monitor.py）。在这个阶段，恶意软件明确检查TeamPCP工具，并尝试删除所有TeamPCP进程、服务、容器、文件和持久性工件，有效地将被入侵的主机据为己有。

恶意软件的凭证盗窃能力广泛，针对云环境、开发人员系统、消息应用程序、金融服务、数据库、SSH密钥、Slack令牌、WordPress配置文件、OpenAI API密钥、Anthropic API密钥、Discord令牌、DigitalOcean令牌等。被盗凭证使用X25519 ECDH和ChaCha20-Poly1305加密，然后分割成2800字节的块，并通过Telegram渠道外泄，遵守平台的消息大小限制。

传播通过扫描外部云基础设施中的暴露服务——Docker、Kubernetes、Redis、MongoDB和RayML——然后尝试利用已知漏洞以获得初始访问权限。SentinelLabs识别了PCPJack利用的五个特定CVE：

• CVE-2025-29927：通过精心制作的头部在Next.js中间件中绕过身份验证
• CVE-2025-55182（"React2Shell"）：React和Next.js中Server Actions反序列化缺陷
• CVE-2026-1357：WPVivid Backup中未经身份验证的文件上传
• CVE-2025-9501：通过缓存的mfunc评论在W3 Total Cache中进行PHP注入
• CVE-2025-48703：在CentOS Web Panel Filemanager changePerm功能中进行Shell注入

此外，恶意软件从Common Crawl parquet文件中下载主机名数据，并使用这些作为其扫描例程的新目标。一旦进入被入侵的环境，PCPJack通过收集SSH密钥和凭证，枚举Kubernetes集群和Docker守护进程，并在可访问的内部主机上执行自身，进行横向移动。使用systemd服务、cron作业、Redis cron重写或特权容器建立持久性，然后继续传播。

SentinelLabs还发现了一个基于Sliver的后门在威胁行为者的基础设施上，支持x86_64、x86和ARM架构的变体，表明操作员维护了一个次要的访问方法。

战术、技术与程序

PCPJack的操作流程遵循一致的模式：通过利用公共应用程序（T1190）获得初始访问权限，从密码存储和云元数据中收集凭证（T1555），通过远程服务会话劫持进行横向移动（T1563），通过systemd和cron实现持久性（T1543），并通过Telegram作为Web服务进行外泄（T1567）。值得注意的是，故意移除TeamPCP工件——这表明操作员将竞争对手感染视为同一可货币化访问的竞争，而不仅仅是为了隐身而清理房屋。

威胁行为者背景

SentinelLabs将PCPJack和TeamPCP直接联系起来，TeamPCP是一个以云为重点的威胁组织，以其针对Aqua Security的Trivy扫描器、LiteLMM和Telnyx PyPI包以及最近的SAP npm包的高调供应链违规行为而闻名。研究人员指出，PCPJack针对的许多服务与2025年12月的早期TeamPCP/PCPCat活动相呼应，然后在2026年初的高可见度操作引起重大关注并据称导致团队成员变动之前。SentinelLabs表示："我们相信这可能是一个对团队工具非常熟悉的前操作员。"这种归因具有中等信心——证据是间接的但一致的。

缓解措施与建议

SentinelLabs建议采取以下措施，以减少PCPJack和类似凭证收集蠕虫的暴露：

• 在所有云管理界面和开发人员平台上强制执行多因素认证（MFA）。
• 在AWS中使用IMDSv2，将元数据服务访问限制在加固实例上。
• 确保为Docker守护进程、Kubernetes API服务器、Redis实例和MongoDB部署配置适当的身份验证——不要在没有身份验证的情况下将这些服务暴露给互联网。
• 为服务帐户和API密钥遵循最小权限原则。
• 避免将机密存储在纯文本文件或环境变量中；使用机密管理器。
• 监控来自云工作负载的意外Telegram API调用，因为这些可能表明凭证外泄。
• 应用上述列出的五个CVE的补丁，特别是CVE-2025-29927（Next.js身份验证绕过）和CVE-2026-1357（WPVivid Backup文件上传），这些在野外被积极利用。