Uit een nieuwe analyse is gebleken dat de bedreigingsacteur werd gevolgd als TeamPCP is al in 2020 actief op het gebied van cybercriminaliteit, wat aangeeft dat de groep jarenlang de internetinfrastructuur in gevaar heeft gebracht voordat ze hun blik op de softwaretoeleveringsketen richtten.
“De verbinding wordt ondersteund door overlappende domeinen, paden voor de implementatie van malware, stagingtechnieken, backend-infrastructuur en operationeel vakmanschap”, aldus Oligo Security-onderzoekers Avi Lumelsky en Gal Elbaz.
Dit omvat twee campagnes die in de tweede helft van 2025 zijn waargenomen: ShadowRay 2.0 (ook bekend als IronErn), waarbij de infrastructuur van kunstmatige intelligentie (AI) werd gekaapt in een zichzelf voortplantend botnet, en TA-NATALSTATUS, die zich richtte op blootgestelde Redis-servers om cryptocurrency-mijnwerkers te leveren.
TA-NATALSTATUS wordt beschouwd als een evolutie van een eerdere campagne die in april 2020 door Trend Micro werd uitgewerkt en waarbij Redis-servers werden getarget om malware te implementeren. Dit suggereert dat de bedreigingsacteur zich actief heeft gericht op de internettoegangsinfrastructuur van Ray, Docker, Redis en React, lang voordat hij zichzelf als TeamPCP bestempelde.
Details van de aanvallers kwamen eind vorig jaar voor het eerst naar voren toen ze in verband werden gebracht met de exploitatie van beveiligingsfouten in React Server Components (RSC) en Next.js om de extractie van inloggegevens en gevoelige gegevens uit gecompromitteerde omgevingen te vergemakkelijken. De activiteit kreeg de codenaam Operatie PCPcat.
Vervolgens beschreef Flare eerder dit jaar een grootschalige campagne van de bedreigingsacteur om systematisch cloud-native omgevingen aan te vallen als onderdeel van de inspanningen om een kwaadaardige infrastructuur op te zetten voor vervolgexploitatie.
“Het doel van de operatie was om een gedistribueerde proxy- en scaninfrastructuur op grote schaal te bouwen en vervolgens servers in gevaar te brengen om gegevens te exfiltreren, ransomware in te zetten, afpersing uit te voeren en cryptocurrency te minen”, merkte Flare-beveiligingsonderzoeker Assaf Morag destijds op.
De groep heeft zich sindsdien vertakt in spraakmakende compromissen in de toeleveringsketen, waarbij het onderling verbonden karakter van moderne software wordt bewapend om ontwikkelaarssystemen massaal te infecteren door populaire open-sourcebibliotheken te vergiftigen door een combinatie van GitHub-acties en misbruik van tokendiefstal.
“Een van de sterkste operationele verbanden is de overlap tussen de IronErn GitHub- en GitLab-identiteiten die werden waargenomen tijdens ShadowRay 2.0 en de latere infrastructuur van TeamPCP”, aldus Oligo. “Het correleren van GitLab-authenticatielogboeken, command-and-control-infrastructuur, reverse-shell-activiteit en malware-staging vormt een directe operationele brug tussen de ShadowRay 2.0-campagne en de acteur die later publiekelijk opereert als TeamPCP.”
De laatste bevindingen tonen aan dat deze inspanningen niet alleen met elkaar verbonden zijn, maar ook dat de bedreigingsactoren herhaaldelijk bekende beveiligingsfouten misbruikten die van invloed waren op React, Docker, Redis en Ray om toegang te krijgen en te vertrouwen op geautomatiseerde en wormbare exploitatietechnieken voor zelfverspreiding.
De uitbreiding naar trapsgewijze software-supply chain-aanvallen vertegenwoordigt daarom een natuurlijke evolutie van deze trend, waardoor de bedreigingsactoren kunnen profiteren van legitieme cloudinfrastructuur en beproefde methoden in hun inspanningen kunnen hergebruiken.
Deze verschuivingen zijn aangevuld met voortdurende updates van het malwarearsenaal, waaronder een Python-script (“kube.py”) dat specifiek wordt gebruikt na inbreuken op Kubernetes-omgevingen. Terwijl eerdere versies van het script zich concentreerden op propagatie en het opzetten van persistentie, begonnen nieuwe varianten die pas in maart 2026 werden waargenomen, ruitenwisserachtige functionaliteit te bevatten.
Dit destructieve codepad controleerde of het slachtoffersysteem was geconfigureerd voor de Iraanse tijdzone en vuurde, als dat het geval was, een DaemonSet af die elk knooppunt in het cluster wiste via een ruitenwisser die niet zo subtiel Kamikaze heette. Op Kubernetes-knooppunten buiten Iran werd de CanisterWorm-achterdeur ingezet. Voor Iraanse systemen die niet van Kubernetes zijn, voerde de malware een “poison_pill()”-routine uit om het volledige bestandssysteem te wissen.
“Of deze continuïteit een directe rebranding, een gedeelde operatorset of een nauwe samenwerking tussen historisch gerelateerde actoren weerspiegelt, kan niet met 100% zekerheid worden vastgesteld”, aldus Oligo. “Wat het bewijsmateriaal wel aantoont, is dat TeamPCP de voortzetting vertegenwoordigt van een bestaand operationeel ecosysteem in plaats van een geheel nieuwe bedreigingsacteur die eind 2025 verscheen.”
