{"id":1087,"date":"2026-06-05T06:08:04","date_gmt":"2026-06-05T06:08:04","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/pcpjack-secuestra-230-servidores-aws-google-cloud-y-azure-para-una-red-de-retransmision-smtp-encubierta-cyberdefensa-mx\/"},"modified":"2026-06-05T06:08:04","modified_gmt":"2026-06-05T06:08:04","slug":"pcpjack-secuestra-230-servidores-aws-google-cloud-y-azure-para-una-red-de-retransmision-smtp-encubierta-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/pcpjack-secuestra-230-servidores-aws-google-cloud-y-azure-para-una-red-de-retransmision-smtp-encubierta-cyberdefensa-mx\/","title":{"rendered":"PCPJack secuestra 230 servidores AWS, Google Cloud y Azure para una red de retransmisi\u00f3n SMTP encubierta \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El actor de amenazas conocido como <b>PCPJack<\/b> ha secuestrado servidores en la nube asociados con Amazon Web Services (AWS), Google Cloud y Microsoft Azure para crear una red encubierta de retransmisi\u00f3n de correo electr\u00f3nico SMTP.<\/p>\n<p>\u00abLos servidores empresariales comprometidos en EE. UU., Europa y Asia se convirtieron silenciosamente en servidores proxy SMTP, se verific\u00f3 su capacidad de retransmisi\u00f3n de correo y se sincronizaron con un consumidor intermedio cada cinco minutos\u00bb, dijo Hunt.io en un comunicado. \u00abLa infraestructura todav\u00eda estaba funcionando cuando la encontramos\u00bb.<\/p>\n<p>La empresa de inteligencia de amenazas <a href=\"https:\/\/hunt.io\/blog\/pcpjack-230-cloud-servers-smtp-proxy-network-sliver-chisel\">dicho<\/a> encontr\u00f3 c\u00f3digo fuente, archivos binarios compilados, registros de estado de implementaci\u00f3n, esc\u00e1neres de Internet, herramientas de explotaci\u00f3n y una configuraci\u00f3n de Sliver en vivo despu\u00e9s de que el actor de amenazas detr\u00e1s de la operaci\u00f3n dej\u00f3 dos directorios abiertos en un servidor de comando y control (C2) (\u00ab213.136.80[.]73\u00bb) sin ninguna autenticaci\u00f3n.<\/p>\n<p>PCPJack fue descubierto por primera vez por SentinelOne en abril de 2026 despu\u00e9s de que identific\u00f3 un marco de robo de credenciales que apunta espec\u00edficamente a los servicios en la nube, mientras tomaba medidas para terminar y eliminar procesos o artefactos asociados con TeamPCP, otro notorio grupo de pirater\u00eda que ha llamado la atenci\u00f3n en los \u00faltimos meses por sus ataques a la cadena de suministro de software.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Organizado en uno de los directorios abiertos. <a href=\"https:\/\/sliver.sh\/\">Astilla<\/a>-Kit de herramientas de implementaci\u00f3n de proxy SMTP integrado, junto con tunelizaci\u00f3n Chisel y binarios de proxy para la mayor\u00eda de las arquitecturas de CPU de Linux, como AMD64, ARM64 y x86. En el lado de la v\u00edctima, el binario se elimina como un archivo oculto con prefijo de punto y se conserva en \u00ab\/var\/tmp\/.xs\u00bb.<\/p>\n<p>Tambi\u00e9n se encuentran en los directorios scripts de implementaci\u00f3n dise\u00f1ados para cargar la configuraci\u00f3n del cliente Sliver C2 y filtrar las balizas de Linux que se han registrado en los \u00faltimos diez minutos. Las balizas son implantes que llaman peri\u00f3dicamente al servidor C2 a intervalos regulares para registrarse y recuperar comandos.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjDFM4oDWYAO7JKcLxS6IQC1lqi41moPuJEQX-yvb7vS6s-kRbcAe4Nwj2nKUKGU0XSD-VeRXaq0r42YXlRC9i1KFmSKIVmRilbLhhgbUU8Qn5EKZwKMgSZ3PfNULHup7-ljxLF5RXEyzq8hR3Q18lWRj7MpqEg3bsMUPAc88JkhTopQySSo2K6ZX2Zp9Ff\/s1700-e365\/proxy.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjDFM4oDWYAO7JKcLxS6IQC1lqi41moPuJEQX-yvb7vS6s-kRbcAe4Nwj2nKUKGU0XSD-VeRXaq0r42YXlRC9i1KFmSKIVmRilbLhhgbUU8Qn5EKZwKMgSZ3PfNULHup7-ljxLF5RXEyzq8hR3Q18lWRj7MpqEg3bsMUPAc88JkhTopQySSo2K6ZX2Zp9Ff\/s1700-e365\/proxy.png\" alt=\"\" border=\"0\" data-original-height=\"1080\" data-original-width=\"1999\"\/><\/a><\/div>\n<p>\u00abCada baliza recibe un puerto proxy SOCKS5 derivado de manera determinista de un hash MD5 de su UUID Sliver, asignado en el rango 10000-14999\u00bb, se\u00f1al\u00f3 Hunt.io. \u00abLa misma baliza siempre se asigna al mismo puerto en todas las ejecuciones, lo que elimina la necesidad de un registro de puerto compartido\u00bb.<\/p>\n<p>El script tambi\u00e9n es capaz de ejecutar una puerta de calidad SMTP que busca acceso saliente a smtp.gmail.[.]Com:587. Los hosts que no pasan esta verificaci\u00f3n se omiten con un c\u00f3digo de salida de cero.<\/p>\n<p>\u00abEsta puerta define el prop\u00f3sito de la operaci\u00f3n: los hosts que no pueden transmitir correo electr\u00f3nico no tienen ning\u00fan valor para este canal\u00bb, a\u00f1adi\u00f3 la empresa de ciberseguridad. \u00abLas balizas se procesan en lotes de 50, con una espera de 25 minutos despu\u00e9s de la carga y 15 minutos despu\u00e9s de la ejecuci\u00f3n de los comandos, para dar cabida a registros de balizas a intervalos lentos\u00bb.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh9DG5ikWSDkde35T3pz2leiwevefWIUy_OKnwWFfNHjvCegHbawZR6jM5kF4s2CoOtgOL3wSBq70QrcAUIai7fnilxDecZQXQodzSluboMGI9-HwR1Q-8ABs8TkTStnZ_esPGwLGs1aAH_lIO1kKMT_Ue053m2tBhG7BoEo_vWoHhqMvzLNzCkPimLYLfv\/s1700-e365\/proxy-1.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh9DG5ikWSDkde35T3pz2leiwevefWIUy_OKnwWFfNHjvCegHbawZR6jM5kF4s2CoOtgOL3wSBq70QrcAUIai7fnilxDecZQXQodzSluboMGI9-HwR1Q-8ABs8TkTStnZ_esPGwLGs1aAH_lIO1kKMT_Ue053m2tBhG7BoEo_vWoHhqMvzLNzCkPimLYLfv\/s1700-e365\/proxy-1.png\" alt=\"\" border=\"0\" data-original-height=\"1056\" data-original-width=\"1999\"\/><\/a><\/div>\n<p>Se ha descubierto que las iteraciones posteriores de los scripts de implementaci\u00f3n eliminan la puerta SMTP y la l\u00f3gica de procesamiento por lotes. Tambi\u00e9n est\u00e1 presente un script de diagn\u00f3stico que selecciona cinco balizas activas y les asigna a cada una un comando de shell que verifica lo siguiente:<\/p>\n<ul>\n<li>Presencia de archivos binarios de Chisel en rutas de ca\u00edda conocidas<\/li>\n<li>Se est\u00e1 ejecutando un proceso de Chisel<\/li>\n<li>Espacio en disco<\/li>\n<li>Accesibilidad del puerto 9000 en el C2, y<\/li>\n<li>Presencia de artefactos de persistencia, como la entrada cron o el servicio systemd<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Adem\u00e1s, el servidor C2 ejecuta un script Python llamado \u00abchisel_verifier.py\u00bb como un demonio en segundo plano persistente, que enumera los puertos activos del t\u00fanel Chisel a trav\u00e9s de ss -tlnp cada 60 segundos, prueba la capacidad SMTP de cada nuevo puerto y elimina los t\u00faneles fallidos o descartados del grupo activo.<\/p>\n<p>Los proxies verificados se enriquecen con la direcci\u00f3n IP de salida, el pa\u00eds y el ASN a trav\u00e9s de servicios como api.ipify.[.]org y ip-api[.]com. Luego, las listas de proxy se sincronizan cada cinco minutos a trav\u00e9s del Protocolo de copia segura (SCP) con un servidor descendente independiente en 38.242.204.[.]245. Actualmente no se puede acceder al servidor. El objetivo final de la operaci\u00f3n a\u00fan no est\u00e1 claro en este momento.<\/p>\n<p>\u00abEl resultado de 230 nodos es el resultado observable. Si esta progresi\u00f3n refleja un solo operador iterando o m\u00faltiples actores que comparten la misma infraestructura no se puede determinar a partir de los archivos recuperados\u00bb, dijo Hunt.io, describi\u00e9ndola como una campa\u00f1a oportunista.<\/p>\n<p>\u00abLa lista de proxy verificada se sincroniza cada cinco minutos con ese servidor y alguien la est\u00e1 consumiendo. Ya sea para spam, phishing o cualquier otra cosa, la infraestructura para realizar entregas a escala claramente estaba funcionando\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El actor de amenazas conocido como PCPJack ha secuestrado servidores en la nube asociados con Amazon Web Services (AWS), Google Cloud y Microsoft Azure para crear una red encubierta de retransmisi\u00f3n de correo electr\u00f3nico SMTP. \u00abLos servidores empresariales comprometidos en EE. UU., Europa y Asia se convirtieron silenciosamente en servidores proxy SMTP, se verific\u00f3 su [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[736,2776,257,24,2926,256,36,2356,435,2924,1081,87,2925,132],"class_list":["post-1087","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aws","tag-azure","tag-cloud","tag-cyberdefensa-mx","tag-encubierta","tag-google","tag-para","tag-pcpjack","tag-red","tag-retransmision","tag-secuestra","tag-servidores","tag-smtp","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1087","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1087"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1087\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1087"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1087"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1087"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}