Các nhà nghiên cứu an ninh mạng đã cảnh báo về một "chiến dịch quy mô lớn" nhắm mục tiêu có hệ thống vào các môi trường cloud native để thiết lập cơ sở hạ tầng độc hại cho các hoạt động khai thác tiếp theo.
Hoạt động này, được ghi nhận vào khoảng ngày 25 tháng 12 năm 2025 và được mô tả là "do worm điều khiển", đã tận dụng các Docker APIs, Kubernetes clusters, Ray dashboards và Redis servers bị lộ, cùng với lỗ hổng React2Shell (CVE-2025-55182, CVSS score: 10.0) mới được tiết lộ. Chiến dịch này được cho là do nhóm threat cluster được biết đến với tên TeamPCP (còn gọi là DeadCatx3, PCPcat, PersyPCP và ShellForce) thực hiện.
TeamPCP được biết là đã hoạt động ít nhất từ tháng 11 năm 2025, với lần hoạt động đầu tiên trên Telegram từ ngày 30 tháng 7 năm 2025. Kênh Telegram của TeamPCP hiện có hơn 700 thành viên, nơi nhóm này công bố dữ liệu bị đánh cắp từ nhiều nạn nhân khác nhau ở Canada, Serbia, Hàn Quốc, Các Tiểu vương quốc Ả Rập Thống nhất (U.A.E.) và Hoa Kỳ (U.S.). Chi tiết về threat actor này đã được Beelzebub ghi nhận lần đầu vào tháng 12 năm 2025 dưới tên Operation PCPcat.
"Mục tiêu của chiến dịch là xây dựng một hạ tầng proxy và quét phân tán ở quy mô lớn, sau đó xâm nhập các máy chủ để đánh cắp dữ liệu, triển khai ransomware, thực hiện tống tiền và khai thác tiền điện tử," nhà nghiên cứu bảo mật Assaf Morag của Flare cho biết trong một báo cáo được công bố tuần trước.
TeamPCP được cho là hoạt động như một nền tảng tội phạm mạng cloud-native, khai thác các Docker APIs, Kubernetes APIs, Ray dashboards, Redis servers bị cấu hình sai và các ứng dụng React/Next.js dễ bị tấn công làm con đường lây nhiễm chính để xâm nhập cơ sở hạ tầng đám mây hiện đại nhằm tạo điều kiện cho việc đánh cắp dữ liệu và tống tiền.
Ngoài ra, cơ sở hạ tầng bị xâm nhập còn bị lạm dụng cho nhiều mục đích khác, từ khai thác tiền điện tử và lưu trữ dữ liệu đến các relay proxy và command-and-control (C2).
Thay vì sử dụng bất kỳ kỹ thuật tấn công mới lạ nào, TeamPCP dựa vào các kỹ thuật tấn công đã được thử nghiệm, chẳng hạn như các công cụ hiện có, các lỗ hổng đã biết và các cấu hình sai phổ biến, để xây dựng một nền tảng khai thác tự động hóa toàn bộ quy trình. Điều này, đến lượt nó, biến cơ sở hạ tầng bị lộ thành một "hệ sinh thái tội phạm tự lan truyền," Flare lưu ý.
Khai thác thành công mở đường cho việc triển khai các payload giai đoạn tiếp theo từ các máy chủ bên ngoài, bao gồm các script dựa trên shell và Python tìm kiếm các mục tiêu mới để mở rộng thêm. Một trong những thành phần cốt lõi là "proxy.sh", cài đặt các tiện ích proxy, peer-to-peer (P2P) và tunneling, đồng thời cung cấp các scanner khác nhau để liên tục tìm kiếm trên internet các máy chủ dễ bị tấn công và cấu hình sai.
"Đáng chú ý, proxy.sh thực hiện việc fingerprinting môi trường tại thời điểm thực thi," Morag nói. "Ngay từ đầu trong quá trình chạy, nó kiểm tra xem liệu nó có đang chạy bên trong một Kubernetes cluster hay không."
"Nếu môi trường Kubernetes được phát hiện, script sẽ phân nhánh thành một đường dẫn thực thi riêng biệt và thả một secondary payload dành riêng cho cluster, cho thấy TeamPCP duy trì các công cụ và kỹ thuật tấn công riêng biệt cho các mục tiêu cloud-native thay vì chỉ dựa vào generic Linux malware."
Mô tả ngắn gọn về các payload khác
- scanner.py, được thiết kế để tìm các Docker APIs và Ray dashboards bị cấu hình sai bằng cách tải xuống các danh sách Classless Inter-Domain Routing (CIDR) từ tài khoản GitHub có tên "DeadCatx3," đồng thời có các tùy chọn để chạy một cryptocurrency miner ("mine.sh").
- kube.py, bao gồm chức năng dành riêng cho Kubernetes để thu thập cluster credential và khám phá tài nguyên dựa trên API như pods và namespaces, sau đó thả "proxy.sh" vào các pod có thể truy cập để mở rộng lây lan rộng hơn và thiết lập một persistent backdoor bằng cách triển khai một privileged pod trên mỗi node gắn host.
- react.py, được thiết kế để khai thác lỗ hổng React (CVE-2025-29927) nhằm đạt được remote command execution ở quy mô lớn.
- pcpcat.py, được thiết kế để khám phá các Docker APIs và Ray dashboards bị lộ trên các dải địa chỉ IP lớn và tự động triển khai một malicious container hoặc job thực thi một Base64-encoded payload.
Flare cho biết node máy chủ C2 tại 67.217.57[.]240 cũng đã được liên kết với hoạt động của Sliver, một framework C2 mã nguồn mở được biết đến là bị các threat actor lạm dụng cho mục đích post-exploitation.
Dữ liệu từ công ty an ninh mạng cho thấy các threat actor chủ yếu nhắm vào môi trường Amazon Web Services (AWS) và Microsoft Azure. Các cuộc tấn công được đánh giá là mang tính cơ hội, chủ yếu nhắm vào cơ sở hạ tầng hỗ trợ mục tiêu của chúng thay vì nhắm vào các ngành công nghiệp cụ thể. Kết quả là các tổ chức vận hành cơ sở hạ tầng như vậy trở thành "nạn nhân không chủ đích" trong quá trình này.
"Chiến dịch PCPcat thể hiện một vòng đời đầy đủ của việc quét, khai thác, duy trì sự hiện diện, tạo tunneling, đánh cắp dữ liệu và kiếm tiền được xây dựng đặc biệt cho cơ sở hạ tầng đám mây hiện đại," Morag nói. "Điều khiến TeamPCP nguy hiểm không phải là sự mới lạ về mặt kỹ thuật, mà là sự tích hợp và quy mô hoạt động của chúng. Phân tích sâu hơn cho thấy hầu hết các exploit và malware của chúng đều dựa trên các lỗ hổng đã biết và các công cụ mã nguồn mở được sửa đổi nhẹ."
"Đồng thời, TeamPCP kết hợp khai thác cơ sở hạ tầng với đánh cắp dữ liệu và tống tiền. Các cơ sở dữ liệu CV bị rò rỉ, hồ sơ danh tính và dữ liệu doanh nghiệp được công bố thông qua ShellForce để thúc đẩy ransomware, gian lận và xây dựng danh tiếng tội phạm mạng. Mô hình lai này cho phép nhóm kiếm tiền từ cả điện toán và thông tin, mang lại nhiều nguồn doanh thu và khả năng phục hồi chống lại các hoạt động gỡ bỏ."
