一個(gè)名為PCPJack的新型惡意軟件框架正在互聯(lián)網(wǎng)上主動(dòng)掃描云環(huán)境，專門獵取暴露的服務(wù)并大規(guī)模竊取憑證。與大多數(shù)針對(duì)云端的惡意軟件不同，它完全放棄了加密貨幣挖礦，轉(zhuǎn)而專注于憑證盜竊和金融欺詐。

PCPJack的攻擊目標(biāo)明確：Docker、Kubernetes、Redis和MongoDB部署。它利用配置錯(cuò)誤或存在漏洞的系統(tǒng)作為入侵跳板。這種"不挖礦只偷數(shù)據(jù)"的策略，暗示其運(yùn)營(yíng)者追求的是更直接的利潤(rùn)路徑。

感染鏈條從一個(gè)名為bootstrap.sh的shell腳本開(kāi)始。該腳本在基于Linux的云系統(tǒng)上靜默運(yùn)行，完成環(huán)境準(zhǔn)備、Python安裝、六個(gè)專用模塊下載、持久化設(shè)置，最后啟動(dòng)主控程序。

PCPJack的一個(gè)顯著特點(diǎn)是其競(jìng)爭(zhēng)性清理行為。它會(huì)主動(dòng)掃描并清除所有名為TeamPCP的競(jìng)爭(zhēng)對(duì)手威脅組織的痕跡，接管已被他人感染的機(jī)器。這種"搶地盤"的行為在云威脅行為者中相當(dāng)罕見(jiàn)。

SentinelOne的研究人員將PCPJack識(shí)別為具備蠕蟲傳播能力的憑證盜竊框架。據(jù)該機(jī)構(gòu)安全研究員Alex Delamotte描述，該工具集"從云、容器、開(kāi)發(fā)、生產(chǎn)力和金融服務(wù)中收集憑證，然后通過(guò)攻擊者控制的基礎(chǔ)設(shè)施外泄數(shù)據(jù)，同時(shí)嘗試傳播到更多主機(jī)"。

研究團(tuán)隊(duì)推測(cè)，PCPJack背后的行為者可能是TeamPCP的前成員，因技術(shù)重疊跡象明顯而獨(dú)立出來(lái)運(yùn)營(yíng)。這種"前員工創(chuàng)業(yè)"的劇本在網(wǎng)絡(luò)安全地下世界同樣適用。

該惡意軟件收集的密鑰范圍異常廣泛：SSH密鑰、Slack令牌、WordPress數(shù)據(jù)庫(kù)憑證、OpenAI和Anthropic的API密鑰、云服務(wù)商令牌，以及加密貨幣錢包文件。 stolen data經(jīng)X25519 ECDH和ChaCha20-Poly1305加密后，被分割成小片段發(fā)送至Telegram頻道以符合消息大小限制。攻擊者甚至?xí)粉檶?duì)TeamPCP感染的清理是否成功，顯示出明確的競(jìng)爭(zhēng)意圖而非隨機(jī)攻擊。

傳播機(jī)制上，PCPJack通過(guò)主動(dòng)掃描外部云基礎(chǔ)設(shè)施的暴露服務(wù)實(shí)現(xiàn)擴(kuò)散，包括Docker、Kubernetes、Redis、MongoDB和RayML。它從Common Crawl的parquet文件中下載主機(jī)名數(shù)據(jù)作為掃描目標(biāo)，無(wú)需在代碼中硬編碼任何地址。這種設(shè)計(jì)使其每次周期可覆蓋多達(dá)1.04億個(gè)潛在條目，且無(wú)需中心化協(xié)調(diào)。

該蠕蟲利用五個(gè)公開(kāi)已知的漏洞入侵新系統(tǒng)，包括CVE-2025-29927（Next.js中間件認(rèn)證繞過(guò)）和CVE-2025-55182（React和Next.js的服務(wù)端反序列化漏洞，被稱為"React-express-life"）。