Novo malware PCPJack rouba credenciais de infraestrutura em nuvem
Um novo framework de malware chamado PCPJack está em operação, focando no roubo de credenciais de infraestrutura em nuvem exposta e na remoção do acesso do grupo TeamPCP aos sistemas comprometidos. Os serviços visados incluem Docker, Kubernetes, Redis, MongoDB e aplicações web vulneráveis. Pesquisadores da SentinelLabs indicam que o PCPJack é projetado para roubo de credenciais em larga escala, possivelmente monetizando suas atividades através de fraudes financeiras, operações de spam, revenda de credenciais ou extorsão.
O malware infecta sistemas em nuvem baseados em Linux por meio de um script chamado bootstrap.sh, que cria um diretório oculto, instala dependências do Python e estabelece persistência. Durante essa fase inicial, o PCPJack verifica a presença de ferramentas do TeamPCP e tenta eliminá-las, reivindicando a violação para si. As credenciais roubadas são criptografadas e exfiltradas para canais do Telegram.
O PCPJack também se propaga explorando vulnerabilidades conhecidas em serviços expostos, como CVE-2025-29927 e CVE-2025-55182. Dentro dos ambientes comprometidos, o malware realiza movimentos laterais, coletando chaves SSH e credenciais, e estabelecendo persistência através de serviços do sistema. Para mitigar os riscos, recomenda-se a implementação de autenticação multifatorial (MFA) e o uso de práticas de privilégio mínimo.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).