Una recente analisi di threat intelligence collega il gruppo criminale TeamPCP ad attacchi contro server Redis esposti su Internet già dal 2020, indicando una continuità operativa che precede di anni le più recenti campagne di supply chain attack. Le correlazioni si basano su sovrapposizioni tra domini, modalità di distribuzione del malware, tecniche di staging, infrastrutture backend e procedure operative ripetute nel tempo, elementi tipici usati per attribuire con maggiore confidenza le attività a un singolo attore o a un ecosistema condiviso.
Nel corso degli anni il gruppo avrebbe mantenuto un focus costante sullo sfruttamento di infrastrutture internet facing, includendo servizi e componenti molto diffusi in ambienti cloud e container. Tra i bersagli ricorrenti emergono Redis, Docker, Ray e componenti web moderni come React e framework correlati. Questo approccio privilegia superfici di attacco ad alta esposizione e spesso gestite con configurazioni deboli o patching incompleto, consentendo compromissioni su larga scala tramite automazione e tecniche wormable per la propagazione.
La traiettoria operativa mostra un passaggio da campagne orientate a monetizzazione immediata, come l’installazione di miner di criptovalute su server vulnerabili, a operazioni più complesse che includono botnet e infrastrutture di proxy e scanning distribuite. In parallelo, le indagini descrivono come l’obiettivo sia evoluto verso attività di esfiltrazione dati e azioni di estorsione, fino ad arrivare a scenari più distruttivi in ambienti Kubernetes.
Un punto chiave della trasformazione è l’ingresso negli attacchi alla catena di fornitura del software open source. Invece di colpire solo singoli server, l’idea è sfruttare la natura interconnessa dello sviluppo moderno per raggiungere in massa sistemi di developer e pipeline CI/CD, attraverso avvelenamento di librerie popolari, abuso di token e automazioni come GitHub Actions. Questa strategia amplia enormemente la portata, perché un singolo pacchetto compromesso può propagarsi a molte organizzazioni.
Sul fronte malware, viene citato uno script Python usato dopo la violazione di cluster Kubernetes, con varianti più recenti che includono comportamenti simili a wiper, capaci di cancellare nodi o file system in determinate condizioni, evidenziando un aumento del rischio operativo per aziende che gestiscono container e orchestrazione senza adeguati controlli.