Análisis de Oligo Security revela vínculos entre TeamPCP y ataques anteriores
Un nuevo análisis publicado por Oligo Security establece que el actor de amenazas conocido como TeamPCP ha estado activo desde al menos 2020, mucho antes de que se le asociara con campañas de alto perfil en la cadena de suministro. La investigación conecta dos campañas observadas en la segunda mitad de 2025, ShadowRay 2.0 (también llamada IronErn) y TA-NATALSTATUS, con una campaña previa documentada por Trend Micro en abril de 2020, que atacaba servidores Redis expuestos para distribuir mineros de criptomonedas.
Los investigadores identificaron superposiciones en dominios, rutas de despliegue de malware, técnicas de preparación, infraestructura de backend y prácticas operativas que vinculan estas campañas. Esto sugiere que TeamPCP no es un actor nuevo que apareció a finales de 2025, sino la evolución de un ecosistema operativo existente que ha comprometido infraestructuras accesibles desde internet durante años.
Evolución de las tácticas y técnicas del grupo
El grupo salió a la luz pública a finales del año pasado, cuando se le vinculó con la explotación de vulnerabilidades en React Server Components (RSC) y Next.js para extraer credenciales y datos sensibles, en una actividad denominada Operación PCPcat. A principios de este año, Flare detalló una campaña masiva del actor para atacar sistemáticamente entornos cloud nativos, con el objetivo de construir una infraestructura distribuida de proxy y escaneo para explotaciones posteriores, incluyendo exfiltración de datos, ransomware, extorsión y minería de criptomonedas.
Posteriormente, el grupo evolucionó hacia compromisos de alto perfil en la cadena de suministro, envenenando librerías de código abierto mediante una combinación de GitHub Actions y robo de tokens. Oligo destaca que los enlaces operativos más fuertes se encuentran en la superposición entre las identidades de GitHub y GitLab de IronErn y la infraestructura posterior de TeamPCP, lo que establece un puente operativo directo entre ShadowRay 2.0 y el actor conocido públicamente como TeamPCP.
Arsenal de malware en evolución: el caso de kube.py y Kamikaze
El análisis también revela la evolución de su arsenal de malware, incluyendo un script Python llamado kube.py usado tras comprometer entornos Kubernetes. Las versiones recientes, observadas en marzo de 2026, incorporan funcionalidad similar a un wiper: si el sistema está configurado en la zona horaria de Irán, despliega un DaemonSet que borra todos los nodos del clúster con un wiper llamado Kamikaze. En nodos fuera de Irán, despliega el backdoor CanisterWorm, y en sistemas iraníes fuera de Kubernetes ejecuta una rutina poison_pill() para borrar el sistema de archivos completo.
Ya sea que esta continuidad refleje un rebranding directo, un conjunto de operadores compartido o una colaboración cercana entre actores históricamente relacionados, no puede determinarse con un 100% de certeza. Lo que la evidencia demuestra es que TeamPCP representa la continuación de un ecosistema operativo existente, no un actor de amenazas completamente nuevo que apareció a finales de 2025.
Los hallazgos de Oligo Security subrayan la importancia de que las organizaciones fortalezcan la seguridad de sus infraestructuras expuestas, especialmente servidores Redis y entornos Kubernetes, así como la vigilancia en el uso de dependencias de código abierto para mitigar los riesgos de ataques a la cadena de suministro.
Deja una respuesta