一個名為PCPJack的新型惡意軟件框架正在互聯(lián)網(wǎng)上主動掃描云環(huán)境，專門獵取暴露的服務并大規(guī)模竊取憑證。與大多數(shù)針對云端的惡意軟件不同，它完全放棄了加密貨幣挖礦，轉(zhuǎn)而專注于憑證盜竊和金融欺詐。

PCPJack的攻擊目標明確：Docker、Kubernetes、Redis和MongoDB部署。它利用配置錯誤或存在漏洞的系統(tǒng)作為入侵跳板。這種"不挖礦只偷數(shù)據(jù)"的策略，暗示其運營者追求的是更直接的利潤路徑。

感染鏈條從一個名為bootstrap.sh的shell腳本開始。該腳本在基于Linux的云系統(tǒng)上靜默運行，完成環(huán)境準備、Python安裝、六個專用模塊下載、持久化設置，最后啟動主控程序。

PCPJack的一個顯著特點是其競爭性清理行為。它會主動掃描并清除所有名為TeamPCP的競爭對手威脅組織的痕跡，接管已被他人感染的機器。這種"搶地盤"的行為在云威脅行為者中相當罕見。

SentinelOne的研究人員將PCPJack識別為具備蠕蟲傳播能力的憑證盜竊框架。據(jù)該機構(gòu)安全研究員Alex Delamotte描述，該工具集"從云、容器、開發(fā)、生產(chǎn)力和金融服務中收集憑證，然后通過攻擊者控制的基礎(chǔ)設施外泄數(shù)據(jù)，同時嘗試傳播到更多主機"。

研究團隊推測，PCPJack背后的行為者可能是TeamPCP的前成員，因技術(shù)重疊跡象明顯而獨立出來運營。這種"前員工創(chuàng)業(yè)"的劇本在網(wǎng)絡安全地下世界同樣適用。

該惡意軟件收集的密鑰范圍異常廣泛：SSH密鑰、Slack令牌、WordPress數(shù)據(jù)庫憑證、OpenAI和Anthropic的API密鑰、云服務商令牌，以及加密貨幣錢包文件。 stolen data經(jīng)X25519 ECDH和ChaCha20-Poly1305加密后，被分割成小片段發(fā)送至Telegram頻道以符合消息大小限制。攻擊者甚至會追蹤對TeamPCP感染的清理是否成功，顯示出明確的競爭意圖而非隨機攻擊。

傳播機制上，PCPJack通過主動掃描外部云基礎(chǔ)設施的暴露服務實現(xiàn)擴散，包括Docker、Kubernetes、Redis、MongoDB和RayML。它從Common Crawl的parquet文件中下載主機名數(shù)據(jù)作為掃描目標，無需在代碼中硬編碼任何地址。這種設計使其每次周期可覆蓋多達1.04億個潛在條目，且無需中心化協(xié)調(diào)。

該蠕蟲利用五個公開已知的漏洞入侵新系統(tǒng)，包括CVE-2025-29927（Next.js中間件認證繞過）和CVE-2025-55182（React和Next.js的服務端反序列化漏洞，被稱為"React-express-life"）。