Hackers trocam de papéis: o novo grupo PCPJack toma controle das redes infectadas.

Nova gangue hacker PCPJack “despeja” a TeamPCP

*SentinelOne* descobriu um grupo de ciberdelincuentes desconhecido que já invadiu sistemas previamente infectados pela TeamPCP e está expulsando seus membros. A nova equipe – PCPJack – remove o malware da TeamPCP e instala suas próprias ferramentas para roubo de credenciais.

Como funciona o PCPJack
1. Infiltração

Os hackers entram nos sistemas já comprometidos pela TeamPCP, onde colocam seus próprios malwares.

2. Disseminação

O malware se espalha pela infraestrutura em nuvem das vítimas como um verme de rede e captura as credenciais.

3. Envio de dados

As informações roubadas são enviadas para os servidores dos atacantes.

4. Rastreamento de alvos

As ferramentas do PCPJack mantêm um contador de alvos; assim, eles já expulsaram os membros da TeamPCP.

O que se sabe sobre a TeamPCP
A TeamPCP chamou atenção por uma série de ataques de grande impacto:

- invasão à infraestrutura em nuvem da Comissão Europeia,
- ataque maciço ao popular scanner de vulnerabilidades Trivy, afetando empresas como LiteLLM e a startup Mercor.

Quem está por trás do PCPJack?
Alex Delamotte (pesquisadora sênior, SentinelOne) ainda não identificou os organizadores. Ela propôs três hipóteses:

1. antigos membros insatisfeitos da TeamPCP;
2. uma gangue concorrente;
3. um terceiro que criou suas próprias ferramentas baseadas no modelo da TeamPCP.

> “Os serviços alvo do PCPJack coincidem em grande parte com os alvos dos ataques de dezembro e janeiro da TeamPCP, que antecederam a suposta mudança de composição do grupo em fevereiro‑março”, observa Delamotte.

A gangue também escaneia a internet à procura de serviços abertos (Docker, MongoDB), mas seu objetivo principal é expulsar os concorrentes da TeamPCP.

Motivação financeira
Os alvos do PCPJack são puramente financeiros:

1. Revenda das credenciais roubadas;
2. Venda de acesso a sistemas comprometidos;
3. Extorsão direta às vítimas.

Os hackers não usam mineração de criptomoedas – tal estratégia exigiria mais tempo para gerar lucro, segundo Delamotte. Em alguns ataques, eles empregam domínios de phishing e sites falsos de suporte técnico.

Assim, o PCPJack representa uma “cachorra” agressiva que não apenas captura sistemas já infectados pela TeamPCP, mas também procura ativamente novas vulnerabilidades na nuvem para monetizar os dados roubados.