Les hackers échangent les rôles : le nouveau groupe PCPJack prend le contrôle des réseaux infectés.

Une nouvelle groupe de hackers PCPJack « chasse » TeamPCP

*SentinelOne* a découvert un groupe cybercriminel inconnu qui est déjà infiltré dans les systèmes précédemment infectés par le groupe TeamPCP et qui supprime ses membres. Le nouveau groupe – PCPJack – élimine le logiciel malveillant TeamPCP et installe ses propres outils pour voler des identifiants.

Comment fonctionne PCPJack
1. Infiltration

Les hackers pénètrent dans les systèmes déjà infectés par TeamPCP, où ils déposent leurs propres logiciels malveillants.

2. Propagation

Le logiciel malveillant se propage à travers l’infrastructure cloud des victimes comme un ver réseau et vole les identifiants.

3. Transfert de données

Les informations volées sont envoyées aux serveurs des attaquants.

4. Suivi des cibles

Les outils PCPJack comptent les cibles ; en conséquence, ils ont déjà expulsé les membres de TeamPCP.

Ce qui est connu sur TeamPCP
TeamPCP a attiré l’attention par une série d’attaques retentissantes :

- piratage de l’infrastructure cloud de la Commission européenne,
- attaque massive contre le scanner de vulnérabilités Trivy, touchant des entreprises comme LiteLLM et la startup Mercor.

Qui se cache derrière PCPJack ?
Alex Delamotte (chercheur senior, SentinelOne) n’a pas encore identifié les organisateurs. Elle a proposé trois hypothèses :

1. anciens membres mécontents de TeamPCP ;
2. groupe concurrent ;
3. tierce partie ayant créé ses propres outils à l’instar de TeamPCP.

> « Les services ciblés par PCPJack coïncident largement avec les cibles des attaques de décembre et janvier de TeamPCP, qui ont précédé le supposé changement de composition du groupe en février‑mars », note Delamotte.

Le groupe scanne également Internet à la recherche de services publics (Docker, MongoDB), mais son objectif principal est d’éliminer les concurrents de TeamPCP.

Motivation financière
Les cibles de PCPJack sont purement financières :

1. revente des identifiants volés ;
2. vente d’accès aux systèmes compromis ;
3. extorsion directe auprès des victimes.

Les hackers n’utilisent pas le minage de crypto-monnaies – une stratégie qui nécessiterait plus de temps pour générer un profit, estime Delamotte. Dans certaines attaques, ils utilisent des domaines de phishing et des sites de support technique frauduleux.

Ainsi, PCPJack représente une « chienne » agressive qui non seulement prend possession des systèmes déjà infectés par TeamPCP, mais cherche activement de nouvelles vulnérabilités dans le cloud pour monétiser les données volées.