Новый анализ показал, что злоумышленник, отслеживаемый как TeamPCP, был активен на сцене киберпреступности еще в 2020 году, что указывает на то, что группа годами компрометировала инфраструктуру, подключенную к Интернету, прежде чем сосредоточить свое внимание на цепочке поставок программного обеспечения. «Связь поддерживается перекрывающимися доменами, путями развертывания вредоносного ПО, методами промежуточного хранения, серверной инфраструктурой и операционным подходом», — заявили исследователи Oligo Security Ави Лумельски и Галь Эльбаз. Сюда входят две кампании, наблюдавшиеся во второй половине 2025 года: ShadowRay 2.0 (также известная как IronErn), которая включала перехват инфраструктуры искусственного интеллекта (ИИ) в самораспространяющийся ботнет, и TA-NATALSTATUS, которая была нацелена на открытые серверы Redis для доставки майнеров криптовалюты. По оценкам, TA-NATALSTATUS является развитием предыдущей кампании, подробно описанной Trend Micro в апреле 2020 года, которая включала в себя нападение на серверы Redis для развертывания вредоносного ПО. Это говорит о том, что злоумышленник активно атаковал доступную в Интернете инфраструктуру Ray, Docker, Redis и React задолго до того, как назвал себя TeamPCP. Подробности о злоумышленниках впервые появились в конце прошлого года, когда они были связаны с использованием недостатков безопасности в React Server Components (RSC) и Next.js для облегчения извлечения учетных данных и конфиденциальных данных из скомпрометированных сред.
Это мероприятие получило кодовое название Operation PCPcat. Затем, ранее в этом году, Flare подробно описал масштабную кампанию, предпринятую злоумышленником для систематического нападения на собственные облачные среды в рамках усилий по созданию вредоносной инфраструктуры для последующей эксплуатации. «Целью операции было создание распределенной прокси-сервера и инфраструктуры сканирования в большом масштабе, а затем компрометация серверов для кражи данных, развертывания программ-вымогателей, вымогательства и майнинга криптовалюты», — отметил тогда исследователь безопасности Flare Ассаф Мораг. С тех пор группа перешла к громким компрометациям цепочки поставок, используя взаимосвязанную природу современного программного обеспечения для массового заражения систем разработчиков, отравляя популярные библиотеки с открытым исходным кодом посредством сочетания действий GitHub и кражи токенов. «Одной из самых сильных операционных связей является совпадение идентификаторов IronErn GitHub и GitLab, наблюдаемое во время ShadowRay 2.0, и более поздней инфраструктуры TeamPCP», — сказал Олиго. «Сопоставление журналов аутентификации GitLab, инфраструктуры управления и контроля, активности обратной оболочки и размещения вредоносных программ устанавливает прямой операционный мост между кампанией ShadowRay 2.0 и участником, который позже будет публично действовать как TeamPCP». Последние результаты показывают, что эти усилия не только связаны между собой, но и что злоумышленник неоднократно злоупотреблял известными недостатками безопасности, влияющими на React, Docker, Redis и Ray, чтобы получить доступ и полагаться на автоматизированные и опасные методы эксплуатации для самораспространения. Таким образом, распространение каскадных атак на цепочку поставок программного обеспечения представляет собой естественную эволюцию этой тенденции, позволяя злоумышленникам воспользоваться легитимной облачной инфраструктурой и перепрофилировать проверенные и проверенные методы в своих усилиях. Эти изменения дополняются постоянными обновлениями арсенала вредоносного ПО, включая скрипт Python («kube.py»), который специально используется после взлома сред Kubernetes. В то время как более ранние версии сценария были сосредоточены на распространении и настройке устойчивости, новые варианты, наблюдаемые совсем недавно, в марте 2026 года, начали включать в себя функциональность, подобную очистителю. Этот деструктивный путь кода проверял, была ли система-жертва настроена для часового пояса Ирана, и, если это так, запускал DaemonSet, который очищал все узлы в кластере с помощью вайпера с не таким уж тонким названием Kamikaze.
На узлах Kubernetes, расположенных за пределами Ирана, был развернут бэкдор CanisterWorm. Для иранских систем, не поддерживающих Kubernetes, вредоносная программа выполняла процедуру «poison_pill()», чтобы стереть всю файловую систему. «Невозможно определить со 100% уверенностью, отражает ли эта преемственность прямой ребрендинг, общий набор операторов или тесное сотрудничество между исторически связанными игроками», — сказал Олиго. «Факты действительно демонстрируют, что TeamPCP представляет собой продолжение существующей операционной экосистемы, а не совершенно нового субъекта угрозы, появившегося в конце 2025 года».
