Нов анализ разкрива, че злонамереният субект, проследяван като TeamPCP, е активен на сцената на киберпрестъпността още от 2020 г. Това показва, че групата компрометира свързана с интернет инфраструктура от години, преди да насочи вниманието си към веригата за доставки на софтуер.

„Връзката се подкрепя от припокриващи се домейни, пътища за внедряване на зловреден код, техники за подготовка (staging), бекенд инфраструктура и оперативни похвати“, заявяват изследователите от Oligo Security Ави Лумелски и Гал Елбаз.

Това включва две кампании, наблюдавани през втората половина на 2025 г.: ShadowRay 2.0 (известна още като IronErn), която включва отвличане на инфраструктура за изкуствен интелект (AI) в саморазпространяващ се ботнет, и TA-NATALSTATUS, която е насочена към публично достъпни Redis сървъри за разпространение на майнери за криптовалута.

Оценява се, че TA-NATALSTATUS е еволюция на предишна кампания, детайлно описана от Trend Micro през април 2020 г., която включва насочване към Redis сървъри за внедряване на зловреден код. Това предполага, че атакуващият активно е вземал под прицел достъпна през интернет инфраструктура в средите на Ray, Docker, Redis и React много преди да се брандира като TeamPCP.

Подробности за атакуващите се появиха за първи път в края на миналата година, когато те бяха свързани с експлоатацията на недостатъци в сигурността на React Server Components (RSC) и Next.js с цел улесняване на извличането на идентификационни данни и чувствителни данни от компрометирани среди. Дейността е кодирана под името Operation PCPcat.

След това, по-рано тази година, Flare описа мащабна кампания, предприета от киберпрестъпниците за систематично насочване към облачно-native среди като част от усилията за изграждане на злонамерена инфраструктура за последваща експлоатация.

„Целите на операцията бяха изграждането на мащабна разпределена прокси и сканираща инфраструктура, последвано от компрометиране на сървъри за извличане на данни, разгръщане на ransomware, изнудване и копаене на криптовалута“, отбеляза по това време изследователят по сигурността от Flare Асаф Мораг.

Оттогава групата се е насочила към високопрофилни компрометирания на веригата за доставки, използвайки взаимосвързания характер на съвременния софтуер, за да зарази масово системи на разработчици чрез компрометиране на популярни библиотеки с отворен код чрез комбинация от GitHub Actions и злоупотреба с кражба на токени.

„Една от най-силните оперативни връзки е припокриването между идентичностите на IronErn в GitHub и GitLab, наблюдавани по време на ShadowRay 2.0, и по-късната инфраструктура на TeamPCP“, казват от Oligo. „Корелацията между регистрационните файлове за удостоверяване в GitLab, C2 инфраструктурата, дейността по обратен шел (reverse-shell) и подготовката на зловреден код установява директен оперативен мост между кампанията ShadowRay 2.0 и субекта, действащ по-късно публично като TeamPCP.“

Последните разкрития показват, че тези усилия са не само свързани, но и че атакуващият многократно е злоупотребявал с известни недостатъци в сигурността, засягащи React, Docker, Redis и Ray, за да получи достъп и да разчита на автоматизирани и червеобразни техники за експлоатация за саморазпространение.

Следователно, разширяването към каскадни атаки над веригата за доставки на софтуер представлява естествена еволюция на тази тенденция, позволявайки на авторите на заплахата да се възползват от легитимна облачна инфраструктура и да пренасочат изпитани методи в своите усилия.

Тези промени са допълнени от непрекъснати актуализации на арсенала им от зловреден код, включително Python скрипт („kube.py“), който се използва специално след пробив в среди на Kubernetes. Докато по-ранните версии на скрипта се фокусираха върху разпространението и установяването на устойчивост, новите варианти, наблюдавани съвсем наскоро през март 2026 г., започнаха да включват разрушителна функционалност от тип „wiper“.

Този деструктивен кодов път проверява дали компрометираната система е конфигурирана за часовата зона на Иран и, ако е така, стартира DaemonSet, който изтрива всеки възел в клъстера чрез wiper, наречен не толкова дискретно „Kamikaze“. На Kubernetes възли, намиращи се извън Иран, той внедрява бекдор с името CanisterWorm. За системи извън Kubernetes в Иран, зловредният код изпълнява подпрограма „poison_pill()“, за да изтрие цялата файлова система.

„Дали тази приемственост отразява директно ребрандиране, споделен набор от оператори или тясно сътрудничество между исторически свързани субекти не може да бъде определено със 100% сигурност“, казват от Oligo. „Това, което доказват доказателствата, е, че TeamPCP представлява продължение на съществуваща оперативна екосистема, а не изцяло нов злонамерен субект, който се е появил в края на 2025 г.“