PCPJack
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
PCPJack es un gusano de nube y marco de robo de credenciales que se reporta desde 2026. La evidencia lo liga a TeamPCP, un actor de amenazas responsable de compromisos de cadena de suministro. El sistema secuestró aproximadamente 230 servidores en AWS, GCP y Azure para establecer una red oculta de relevo SMTP utilizando Sliver y Chisel.
Cómo llega
Se propaga a través de servicios expuestos en la nube y aplicaciones web vulnerables. La base de datos asocia el arma con las vulnerabilidades CVE-2021-4034, CVE-2025-48703 y CVE-2025-55182. El sistema elimina sistemáticamente artefactos vinculados a TeamPCP mientras se expande.
Qué hace una vez dentro
Recopila credenciales de plataformas de nube, contenedores, herramientas de desarrollo, aplicaciones de productividad y servicios financieros. Exfiltra la información a través de infraestructura controlada por el atacante. Utiliza Telegram para comunicaciones de comando y control. No despliega mineros de criptomonedas, enfocándose en el robo de credenciales para fraude, spam, extorsión o reventa de acceso.
A quién ataca
Apunta a infraestructura de nube expuesta, específicamente servicios de Docker, Kubernetes, Redis, MongoDB y RayML. También ataca aplicaciones web vulnerables para permitir la propagación externa y el movimiento lateral. La selección de objetivos se basa en datos de Common Crawl.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Unix Shell | T1059.004 |
| Ejecución | Python | T1059.006 |
| Ejecución | Container Administration Command | T1609 |
| Persistencia | Implant Internal Image | T1525 |
| Persistencia | Systemd Service | T1543.002 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Valid Accounts | T1078 |
| Acceso a credenciales | Exploitation for Credential Access | T1212 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Private Keys | T1552.004 |
| Acceso a credenciales | Cloud Instance Metadata API | T1552.005 |
| Acceso a credenciales | Container API | T1552.007 |
| Descubrimiento | Network Service Discovery | T1046 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Account Discovery | T1087 |
| Descubrimiento | Container and Resource Discovery | T1613 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Lateral Tool Transfer | T1570 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2021-4034 | Red Hat Polkit | 7.8 | Sí | Hunt.io |
| CVE-2025-48703 | CWP Control Web Panel | 9 | Sí | AlienVault OTX (presunta) |
| CVE-2025-55182 | Meta React Server Components | 10 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
