TeamPCP bị liên kết với các chiến dịch tấn công Redis từ năm 2020
"Researchers linked the threat actor TeamPCP to Redis-targeting attacks dating back to 2020, showing the group had been compromising internet-facing infrastructure long before its later supply chain activity. The campaigns abused vulnerabilities and automation across Redis, Ray, Docker, React, and Kubernetes, with impacts including credential theft, botnet propagation, cryptocurrency mining, data exfiltration, ransomware, and destructive wiper behavior; no specific CVE numbers were cited in the article."
Tác động bảo mật ở mức cao do xâm nhập hạ tầng công khai, tự lây lan, và phá hủy dữ liệu. Nguy cơ còn mở rộng sang chuỗi cung ứng phần mềm và đánh cắp thông tin xác thực.
Có thể gây gián đoạn dịch vụ, mất dữ liệu, và chi phí khắc phục lớn. Các môi trường cloud-native và open-source pipeline có nguy cơ bị ảnh hưởng dây chuyền.
Các nhà nghiên cứu an ninh cho biết nhóm đe dọa TeamPCP đã hoạt động từ năm 2020, sớm hơn nhiều so với các chiến dịch tấn công chuỗi cung ứng được ghi nhận sau này. Phân tích cho thấy mối liên hệ giữa các chiến dịch dựa trên domain trùng lặp, đường phát tán mã độc, hạ tầng backend và kỹ thuật vận hành.
Nhóm này được cho là đã nhắm vào nhiều môi trường internet-facing như Redis, Ray, Docker, React và Kubernetes. Các chiến dịch được mô tả bao gồm việc chiếm quyền hạ tầng AI để tạo botnet tự lây lan, khai thác Redis để cài cryptominer, cũng như các hoạt động ransomware, exfiltration dữ liệu và hành vi wiper phá hủy dữ liệu.
Báo cáo cũng cho thấy nhóm đã mở rộng sang chuỗi cung ứng phần mềm, lợi dụng GitHub Actions và hành vi đánh cắp token để phát tán mã độc vào hệ sinh thái mã nguồn mở. Một script Python tên kube.py được dùng sau khi xâm nhập Kubernetes, và các biến thể gần đây đã bổ sung chức năng xóa dữ liệu.
Khuyến nghị: ưu tiên vá lỗi bảo mật, rà soát hạ tầng công khai, kiểm tra nhật ký xác thực, giám sát GitHub Actions/GitLab, và cô lập nhanh các cụm Kubernetes hoặc Redis có dấu hiệu bất thường.