‘CanisterWorm’ Springs Wiper Attack visando o Irã – Krebs sobre segurança

Um grupo de roubo e extorsão de dados com motivação financeira está a tentar infiltrar-se na guerra do Irão, libertando um worm que se espalha através de serviços em nuvem mal protegidos e apaga dados em sistemas infectados que utilizam o fuso horário do Irão ou que têm o farsi definido como idioma predefinido.

Especialistas dizem que a campanha de limpeza contra o Irã se materializou no fim de semana passado e veio de um grupo relativamente novo de crimes cibernéticos conhecido como Equipe PCP. Em dezembro de 2025, o grupo começou a comprometer ambientes de nuvem corporativa usando um worm de autopropagação que perseguia APIs Docker expostas, clusters Kubernetes, servidores Redis e a vulnerabilidade React2Shell. O TeamPCP então tentou se mover lateralmente pelas redes das vítimas, desviando credenciais de autenticação e extorquindo as vítimas pelo Telegram.

Em perfil do TeamPCP publicado em janeiro, a empresa de segurança Sinalizador disse que o grupo arma planos de controle expostos em vez de explorar endpoints, visando predominantemente a infraestrutura em nuvem em vez de dispositivos de usuário final, com Azure (61%) e AWS (36%) respondendo por 97% dos servidores comprometidos.

“A força do TeamPCP não vem de novas explorações ou malware original, mas da automação e integração em larga escala de técnicas de ataque bem conhecidas”, disse Flare. Assaf Morag escreveu. “O grupo industrializa vulnerabilidades existentes, configurações incorretas e ferramentas recicladas em uma plataforma de exploração nativa da nuvem que transforma a infraestrutura exposta em um ecossistema criminoso que se autopropaga.”

Em 19 de março, o TeamPCP executou um ataque à cadeia de suprimentos contra o scanner de vulnerabilidade Curiosidades de Segurança Aquainjetando malware para roubo de credenciais em lançamentos oficiais nas ações do GitHub. Aqua Security disse que desde então removido os arquivos prejudiciais, mas a empresa de segurança Wiz notas os invasores conseguiram publicar versões maliciosas que roubavam chaves SSH, credenciais de nuvem, tokens Kubernetes e carteiras de criptomoedas dos usuários.

No fim de semana, a mesma infraestrutura técnica que o TeamPCP usou no ataque Trivy foi aproveitada para implantar uma nova carga maliciosa que executa um ataque de limpeza se o fuso horário e a localidade do usuário forem determinados como correspondendo ao Irã, disse Charlie Eriksenpesquisador de segurança da Aikidô. Em uma postagem no blog publicado no domingo, Eriksen disse que se o componente limpador detectar que a vítima está no Irã e tem acesso a um cluster Kubernetes, ele destruirá os dados em todos os nós desse cluster.

“Se isso não acontecer, apenas limpará a máquina local”, disse Eriksen ao KrebsOnSecurity.

Imagem: Aikido.dev.

Aikido refere-se à infraestrutura do TeamPCP como “CanisterWorm” porque o grupo orquestra suas campanhas usando um Protocolo de computador da Internet (ICP) canister — um sistema de “contratos inteligentes” baseados em blockchain, à prova de falsificação, que combinam código e dados. As caixas ICP podem fornecer conteúdo da Web diretamente aos visitantes e sua arquitetura distribuída os torna resistentes a tentativas de remoção. Esses recipientes permanecerão acessíveis enquanto seus operadores continuarem a pagar taxas em moeda virtual para mantê-los online.

Eriksen disse que as pessoas por trás do TeamPCP estão se gabando de suas explorações em um grupo no Telegram e afirmam ter usado o worm para roubar grandes quantidades de dados confidenciais de grandes empresas, incluindo uma grande empresa farmacêutica multinacional.

“Quando eles comprometeram o Aqua pela segunda vez, eles pegaram muitas contas do GitHub e começaram a enviar spam para elas com mensagens indesejadas”, disse Eriksen. “Era quase como se eles estivessem apenas exibindo quanto acesso tinham. Claramente, eles têm um estoque inteiro dessas credenciais, e o que vimos até agora é provavelmente uma pequena amostra do que eles têm.”

Especialistas em segurança dizem que as mensagens de spam do GitHub podem ser uma forma do TeamPCP garantir que quaisquer pacotes de código contaminados com seu malware permanecerão em destaque nas pesquisas do GitHub. Em um boletim informativo publicado hoje intitulado GitHub está começando a ter um problema real de malware, Negócio arriscado repórter Catalin Cimpanu escreve que os invasores geralmente são vistos enviando commits sem sentido para seus repositórios ou usando serviços online que vendem estrelas e “curtidas” do GitHub para manter pacotes maliciosos no topo da página de pesquisa do GitHub.

O surto deste fim de semana é o segundo grande ataque à cadeia de abastecimento envolvendo Trivy em alguns meses. No final de fevereiro, Trivy foi atingido como parte de uma ameaça automatizada chamada Garra HackerBotque explorou em massa fluxos de trabalho mal configurados no GitHub Actions para roubar tokens de autenticação.

Eriksen disse que parece que o TeamPCP usou o acesso obtido no primeiro ataque ao Aqua Security para perpetrar as travessuras deste fim de semana. Mas ele disse que não há uma maneira confiável de saber se o limpador do TeamPCP realmente conseguiu destruir quaisquer dados dos sistemas das vítimas, e que a carga maliciosa ficou ativa apenas por um curto período de tempo no fim de semana.

“Eles estão pegando (o código malicioso) para cima e para baixo, alterando-o rapidamente e adicionando novos recursos”, disse Eriksen, observando que quando a caixa maliciosa não estava fornecendo downloads de malware, ela direcionava os visitantes para um vídeo de Rick Roll no YouTube.

“Está um pouco confuso e há uma chance de que toda essa coisa do Irã seja apenas uma maneira de chamar a atenção”, disse Eriksen. “Eu sinto que essas pessoas estão realmente desempenhando esse papel do Mal Caótico aqui.”

Cimpanu observou que a frequência dos ataques à cadeia de abastecimento aumentou recentemente, à medida que os agentes da ameaça começaram a compreender o quão eficientes podem ser, e a sua publicação documenta um número alarmante destes incidentes desde 2024.

“Embora as empresas de segurança pareçam estar fazendo um bom trabalho ao detectar isso, também precisaremos que a equipe de segurança do GitHub intensifique”, escreveu Cimpanu. “Infelizmente, em uma plataforma projetada para copiar (fork) um projeto e criar novas versões dele (clones), detectar adições maliciosas a clones de repositórios legítimos pode ser um grande problema de engenharia a ser corrigido.”

Atualização, 14h40 horário do leste dos EUA: Wiz é relatórios que o TeamPCP também enviou malware para roubo de credenciais para o KICS scanner de vulnerabilidade de Checkmarxe que a ação GitHub do scanner foi comprometida entre 12h58 e 16h50 UTC de hoje (23 de março).