Hackeři si vyměňují role: nová skupina PCPJack ovládá infikované sítě.

Nová hackerová skupina PCPJack „vyřazuje“ TeamPCP

*SentinelOne* zjistil neznámou kybernetickou zločineckou skupinu, která již pronikla do systémů dříve infikovaných skupinou TeamPCP, a nahrazuje její členy. Nová skupina – PCPJack – odstraňuje škodlivý software TeamPCP a instalují vlastní nástroje pro krádež přihlašovacích údajů.

Jak funguje PCPJack
1. Penetrační fáze

Hackeři vstupují do již infikovaných systémů TeamPCP, kde umisťují své vlastní škodlivé soubory.

2. Šíření

Škodlivý software se šíří po cloudové infrastruktuře obětí jako síťový červ a odcizením přihlašovacích údajů.

3. Přenos dat

Odcizená data jsou odesílána na servery útočníků.

4. Sledování cílů

Nástroje PCPJack vedou počítadlo cílů; v důsledku toho již vyřazili členy TeamPCP.

Co je známo o TeamPCP
TeamPCP přitahovala pozornost svými resonantními útoky:

- hacknutí cloudové infrastruktury Evropské komise,
- rozsáhlý útok na populární skener zranitelností Trivy, který zasáhl společnosti jako LiteLLM a startup Mercor.

Kdo stojí za PCPJack?
Alex Delamotte (senior researcher, SentinelOne) zatím neidentifikovala organizátory. Navrhla tři hypotézy:

1. nespokojení bývalí členové TeamPCP;
2. konkurenční skupina;
3. třetí strana, která vytvořila vlastní nástroje podle vzoru TeamPCP.

> „Služby, na které se PCPJack zaměřuje, značně odpovídají cílům prosincových a lednových útoků TeamPCP, předcházejících údajné změně složení skupiny v únoru‑březnu“, poznamenává Delamotte.

Skupina také skenuje internet ve vyhledávání otevřených služeb (Docker, MongoDB), ale jejím hlavním cílem je vyřazení konkurentů z TeamPCP.

Finanční motivace
Cíle PCPJack jsou čistě finanční:

1. Překlad odcizených přihlašovacích údajů;
2. Prodej přístupu k kompromitovaným systémům;
3. Přímé vydírání obětí.

Hackeři nepoužívají těžbu kryptoměn – taková strategie vyžaduje více času na zisk, říká Delamotte. V některých útocích používají phishingové domény a falešné stránky technické podpory.

Tím pádem PCPJack představuje agresivní „psíka“, který nejenže převzal již infikované systémy TeamPCP, ale aktivně hledá nové zranitelnosti v cloudu, aby monetizoval odcizená data.