{"id":796,"date":"2026-05-07T19:42:35","date_gmt":"2026-05-07T19:42:35","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/07\/pcpjack-credential-stealer-explota-5-cve-para-propagarse-como-gusanos-en-sistemas-en-la-nube-cyberdefensa-mx\/"},"modified":"2026-05-07T19:42:35","modified_gmt":"2026-05-07T19:42:35","slug":"pcpjack-credential-stealer-explota-5-cve-para-propagarse-como-gusanos-en-sistemas-en-la-nube-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/07\/pcpjack-credential-stealer-explota-5-cve-para-propagarse-como-gusanos-en-sistemas-en-la-nube-cyberdefensa-mx\/","title":{"rendered":"PCPJack Credential Stealer explota 5 CVE para propagarse como gusanos en sistemas en la nube \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Investigadores de ciberseguridad han revelado detalles de un nuevo marco de robo de credenciales denominado <strong>PCPJack<\/strong> que apunta a la infraestructura de la nube expuesta y elimina cualquier artefacto vinculado a TeamPCP de los entornos.<\/p>\n<p>\u00abEl conjunto de herramientas recopila credenciales de la nube, contenedores, desarrolladores, productividad y servicios financieros, luego extrae los datos a trav\u00e9s de una infraestructura controlada por el atacante mientras intenta difundirlos a hosts adicionales\u00bb, dijo el investigador de seguridad de SentinelOne, Alex Delamotte. <a href=\"https:\/\/www.sentinelone.com\/labs\/cloud-worm-evicts-teampcp-and-steals-credentials-at-scale\/\">dicho<\/a> en un informe publicado hoy.<\/p>\n<p>PCPJack est\u00e1 dise\u00f1ado espec\u00edficamente para apuntar a servicios en la nube como Docker, Kubernetes, Redis, MongoDB, RayML y aplicaciones web vulnerables, lo que permite a los operadores propagarse como un gusano, as\u00ed como moverse lateralmente dentro de las redes comprometidas.<\/p>\n<p>Se considera que el objetivo final de la campa\u00f1a de ataque a la nube es generar ingresos il\u00edcitos para los actores de la amenaza mediante el robo de credenciales, fraude, spam, extorsi\u00f3n o reventa de acceso robado. El <\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Lo que hace que esta actividad sea notable es que comparte importantes coincidencias de objetivos con TeamPCP, un actor de amenazas que salt\u00f3 a la fama a fines del a\u00f1o pasado al explotar vulnerabilidades de seguridad conocidas (por ejemplo, <a href=\"https:\/\/zerolabs.rubrik.com\/blog\/pcpcat-campaign-large-scale-exploitation-react2shell-cve-and-cloud-infrastructure\">reaccionar2shell<\/a>) y configuraciones err\u00f3neas en los servicios en la nube para incluir los puntos finales en una red en constante expansi\u00f3n para llevar a cabo el robo de datos y otras acciones posteriores a la explotaci\u00f3n.<\/p>\n<p>Al mismo tiempo, PCPJack carece de un componente de miner\u00eda de criptomonedas, a diferencia de TeamPCP. Si bien no se sabe por qu\u00e9 no se adopt\u00f3 esta obvia estrategia de monetizaci\u00f3n, las similitudes entre los dos grupos indican que PCPJack podr\u00eda ser obra de un ex miembro de TeamPCP que est\u00e1 familiarizado con el oficio del grupo.<\/p>\n<p>El punto de partida del ataque es un script de shell de arranque que se utiliza para preparar el entorno (como configurar el host de carga \u00fatil) y descargar herramientas de la siguiente etapa, mientras simult\u00e1neamente toma medidas para infectar su propia infraestructura, terminar y eliminar procesos o artefactos asociados con TeamPCP, instalar Python, establecer persistencia, descargar seis scripts de Python, iniciar el script de orquestaci\u00f3n y eliminarse.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgIFzZRd0qhqcC8eq4bIHrsbAHf7K6y7yQQlw-YEzjhyIZvutG0Fgy8KFgcUJe3fQqKVZsAt1Yk_z5UDw8o0fyKyTHBpyCfr5OvYvkagKnWFG5IM6XqCKvmYGi7b3-OliwNqkJ8_Hm7lLNttOj6RknOtIplhVqquxJ0W-ntlKsX6A4SnFKsD1S627SeRLZW\/s1700-e365\/cdn.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgIFzZRd0qhqcC8eq4bIHrsbAHf7K6y7yQQlw-YEzjhyIZvutG0Fgy8KFgcUJe3fQqKVZsAt1Yk_z5UDw8o0fyKyTHBpyCfr5OvYvkagKnWFG5IM6XqCKvmYGi7b3-OliwNqkJ8_Hm7lLNttOj6RknOtIplhVqquxJ0W-ntlKsX6A4SnFKsD1S627SeRLZW\/s1700-e365\/cdn.jpg\" alt=\"\" border=\"0\" data-original-height=\"854\" data-original-width=\"1560\"\/><\/a><\/div>\n<p>Las seis cargas \u00fatiles de Python son las siguientes:<\/p>\n<ul>\n<li><strong>gusano.py<\/strong> (escrito en el disco como monitor.py), el orquestador principal que lanza los m\u00f3dulos especialmente dise\u00f1ados, realiza el robo de credenciales locales y propaga el conjunto de herramientas a otros hosts explotando fallas conocidas (<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-55182\">CVE-2025-55182<\/a>, <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-29927\">CVE-2025-29927<\/a>, <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-1357\">CVE-2026-1357<\/a>, <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-9501\">CVE-2025-9501<\/a>y <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-48703\">CVE-2025-48703<\/a>), y usa Telegram para comando y control (C2)<\/li>\n<li><strong>analizador.py<\/strong> (utils.py), para manejar la extracci\u00f3n de credenciales para categorizar claves y secretos robados<\/li>\n<li><strong>lateral.py<\/strong> (_lat.py), para facilitar el reconocimiento, recopilar secretos y permitir el movimiento lateral entre los servicios SSH, Kubernetes, Docker, Redis, RayML y MongoDB.<\/li>\n<li><strong>cripto_util.py<\/strong> (_cu.py), para cifrar las credenciales antes de la filtraci\u00f3n al canal de Telegram del atacante<\/li>\n<li><strong>rangos_nube.py<\/strong> (_cr.py), para recopilar rangos de direcciones IP asignados a Amazon Web Services (AWS), Google Cloud, Microsoft Azure, Cloudflare, Cloudfront y Fastly, y actualizar los datos cada 24 horas.<\/li>\n<li><strong>cloud_scan.py<\/strong> (_csc.py), para ejecutar el escaneo de puertos en la nube para propagaci\u00f3n externa a trav\u00e9s de los servicios Docker, Kubernetes, MongoDB, RayML o Redis<\/li>\n<\/ul>\n<p>Los objetivos de propagaci\u00f3n del script del orquestador provienen de archivos parquet que el gusano extrae directamente de Common Crawl, una organizaci\u00f3n sin fines de lucro que rastrea la web y proporciona sus archivos y conjuntos de datos al p\u00fablico sin costo adicional.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abAl extraer informaci\u00f3n y credenciales del sistema, el operador de PCPJack incluso recopila m\u00e9tricas de \u00e9xito sobre si TeamPCP ha sido desalojado de entornos espec\u00edficos en un campo &#8216;PCP reemplazado&#8217; enviado al C2\u00bb, dijo Delamotte. Esto \u00abimplica un enfoque directo en las actividades del actor de la amenaza en lugar de un puro oportunismo de ataque a la nube\u00bb.<\/p>\n<p>Un an\u00e1lisis m\u00e1s detallado de la infraestructura del actor de amenazas ha descubierto otro script de shell (\u00abcheck.sh\u00bb) que detecta la arquitectura de la CPU y recupera el binario Sliver apropiado. Tambi\u00e9n escanea los puntos finales del Servicio de metadatos de instancia (IMDS), las cuentas de servicio de Kubernetes y las instancias de Docker en busca de credenciales asociadas con Anthropic, Digital Ocean, Discord, Google API, Grafana Cloud, HashiCorp Vault, OnePassword y OpenAI, y las transmite a un servidor externo.<\/p>\n<p>\u00abEn general, los dos conjuntos de herramientas est\u00e1n bien desarrollados e indican que el propietario valora la creaci\u00f3n de c\u00f3digo como un marco modular, a pesar de algunas redundancias en el comportamiento\u00bb, dijo SentinelOne. \u00abEsta campa\u00f1a no [deploy miners]y elimina deliberadamente las funciones de minero asociadas con TeamPCP. A pesar de eso, este actor tiene alcances bien definidos para extraer credenciales de criptomonedas\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Investigadores de ciberseguridad han revelado detalles de un nuevo marco de robo de credenciales denominado PCPJack que apunta a la infraestructura de la nube expuesta y elimina cualquier artefacto vinculado a TeamPCP de los entornos. \u00abEl conjunto de herramientas recopila credenciales de la nube, contenedores, desarrolladores, productividad y servicios financieros, luego extrae los datos a [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[86,2357,1851,24,851,2359,97,36,2356,2358,1154,532],"class_list":["post-796","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-como","tag-credential","tag-cve","tag-cyberdefensa-mx","tag-explota","tag-gusanos","tag-nube","tag-para","tag-pcpjack","tag-propagarse","tag-sistemas","tag-stealer"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/796","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=796"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/796\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=796"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=796"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=796"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}