Hacker tauschen Rollen aus: die neue Gruppe PCPJack übernimmt infizierte Netzwerke.

Neue Hackergruppe PCPJack „schafft“ sich die Kontrolle über TeamPCP

*SentinelOne* hat eine unbekannte Cyberkriminelle Gruppe entdeckt, die bereits in Systeme eindringt, die zuvor von der Gruppe TeamPCP infiziert wurden, und deren Mitglieder verdrängt. Die neue Gruppe – PCPJack – entfernt das Malware-TeamPCP und installiert eigene Werkzeuge zum Stehlen von Zugangsdaten.

Wie PCPJack funktioniert
1. Eindringen

Hacker dringen in bereits von TeamPCP betroffene Systeme ein und platzieren dort ihre eigenen Schadprogramme.

2. Verbreitung

Die Malware verbreitet sich über die Cloud-Infrastruktur der Opfer wie ein Netzwerk-Wurm und stiehlt Zugangsdaten.

3. Datenübermittlung

Gestohlene Informationen werden an die Server der Angreifer gesendet.

4. Zielverfolgung

PCPJack‑Werkzeuge führen einen Zähler für Ziele; dadurch haben sie bereits die Mitglieder von TeamPCP verdrängt.

Was über TeamPCP bekannt ist
TeamPCP zog Aufmerksamkeit auf sich durch eine Reihe resonanter Angriffe:

- Hack der Cloud-Infrastruktur der Europäischen Kommission,
- groß angelegter Angriff auf den beliebten Schwachstellen‑Scanner Trivy, der Unternehmen wie LiteLLM und das Startup Mercor betraf.

Wer steckt hinter PCPJack?
Alex Delamotte (senior researcher, SentinelOne) hat die Organisatoren noch nicht identifiziert. Sie stellte drei Hypothesen vor:

1. Unzufriedene ehemalige Mitglieder von TeamPCP;
2. Konkurrenzgruppe;
3. Dritte Partei, die eigene Werkzeuge nach dem Muster von TeamPCP entwickelt hat.

> „Die Zielgruppen von PCPJack überschneiden sich stark mit den Zielen der Dezember‑ und Januarangriffe von TeamPCP, die vor einer angeblichen Zusammensetzungänderung im Februar/März stattfanden“, betont Delamotte.

Die Gruppe scannt das Internet nach offenen Diensten (Docker, MongoDB), aber ihr Hauptziel ist es, Konkurrenten aus TeamPCP zu verdrängen.

Finanzielle Motivation
Die Ziele von PCPJack sind rein finanzieller Natur:

1. Weiterverkauf gestohlener Zugangsdaten;
2. Verkauf des Zugangs zu kompromittierten Systemen;
3. Direkte Erpressung der Opfer.

Hacker nutzen kein Kryptowährungs‑Mining – eine solche Strategie erfordert laut Delamotte mehr Zeit, um Gewinne zu erzielen. In einigen Angriffen setzen sie Phishing-Domains und gefälschte Support-Websites ein.

Damit stellt PCPJack einen aggressiven „Hund“ dar, der nicht nur bereits infizierte TeamPCP-Systeme übernimmt, sondern aktiv nach neuen Schwachstellen in der Cloud sucht, um gestohlene Daten zu monetarisieren.