Nhóm tội phạm mạng có động cơ tài chính, được biết đến với tên gọi TeamPCP, đã âm thầm thỏa hiệp các môi trường đám mây kể từ cuối năm 2025. Các hoạt động của nhóm này đang gây ra những lo ngại nghiêm trọng trong cộng đồng an ninh mạng, đánh dấu một xu hướng nguy hiểm trong các chiến dịch tấn công mạng.
TeamPCP vận hành một loại mã độc tự lan truyền có tên CanisterWorm. Mã độc này chuyên tìm kiếm các API Docker, cụm Kubernetes, máy chủ Redis được bảo mật kém, và các hệ thống dễ bị tấn công bởi lỗ hổng React2Shell.
Hoạt Động Của Mã Độc CanisterWorm
Mã độc CanisterWorm được thiết kế để thâm nhập vào các hệ thống mục tiêu. Sau khi xâm nhập thành công, nó sẽ di chuyển ngang trong mạng lưới nạn nhân.
Mục tiêu chính của mã độc là đánh cắp thông tin đăng nhập và tống tiền các tổ chức thông qua nền tảng Telegram. Chiến dịch này có phạm vi rộng lớn, ảnh hưởng đến nhiều doanh nghiệp đang vận hành khối lượng công việc đám mây trên cả Azure và AWS.
Cơ Chế Khai Thác Mục Tiêu
CanisterWorm không dựa vào các khai thác (exploit) mới. Thay vào đó, nó vũ khí hóa các lỗ hổng CVE đã biết và các cấu hình đám mây sai (cloud misconfigurations).
Điều này biến các mặt phẳng điều khiển bị phơi nhiễm thành một hệ sinh thái tội phạm tự lan truyền, cho phép mã độc tiếp tục mở rộng phạm vi ảnh hưởng mà không cần khai thác zero-day phức tạp.
Tầm Ảnh Hưởng Rộng Khắp Đến Hạ Tầng Đám Mây
Mức độ nghiêm trọng của mối đe dọa này nằm ở khả năng tự động hóa các cuộc tấn công của TeamPCP. Nghiên cứu từ công ty bảo mật Flare chỉ ra rằng môi trường Azure chiếm khoảng 61% số máy chủ bị thỏa hiệp.
Trong khi đó, AWS chiếm 36%, tổng cộng lên đến 97% tổng số hạ tầng bị ảnh hưởng. Điều này cho thấy sự thiếu sót nghiêm trọng trong bảo mật đám mây của nhiều tổ chức.
Diễn Biến Cuộc Tấn Công và Mã Độc Xóa Dữ Liệu (Wiper)
Các nhà phân tích từ KrebsOnSecurity đã xác định rằng cùng một cơ sở hạ tầng được sử dụng trong các chiến dịch đánh cắp dữ liệu này sau đó đã được dùng để phát động một cuộc tấn công wiper nhắm vào các hệ thống cụ thể.
Tấn Công Chuỗi Cung Ứng Qua Trivy
Vào ngày 19 tháng 3 năm 2026, TeamPCP đã mở rộng hoạt động bằng cách phát động một cuộc tấn công chuỗi cung ứng chống lại Trivy, một công cụ quét lỗ hổng phổ biến từ Aqua Security.
Những kẻ tấn công đã chèn mã độc đánh cắp thông tin đăng nhập vào các bản phát hành GitHub Actions chính thức. Qua đó, chúng đã thu thập được SSH keys, cloud credentials, Kubernetes tokens và ví tiền điện tử từ những người dùng không nghi ngờ.
Chi tiết về các vụ đánh cắp ví tiền điện tử và các chiến thuật liên quan có thể được tìm thấy trong một số báo cáo bảo mật.
Cơ Chế Mã Độc Wiper Địa Lý Cụ Thể
Mặc dù các tệp độc hại đã được gỡ bỏ sau đó, một lượng lớn thiệt hại đã xảy ra. Vào cuối tuần từ 22 đến 23 tháng 3, nhóm này đã triển khai một payload phá hoại mới.
Payload này được kích hoạt khi hệ thống nạn nhân sử dụng múi giờ cụ thể hoặc có ngôn ngữ Farsi được đặt làm ngôn ngữ mặc định.
Charlie Eriksen, một nhà nghiên cứu bảo mật tại Aikido, giải thích rằng nếu mã độc wiper phát hiện một cụm Kubernetes trên hệ thống, nó sẽ phá hủy dữ liệu trên mọi node trong cụm đó. Nếu không có cụm Kubernetes, nó sẽ đơn giản là xóa dữ liệu trên máy cục bộ.
Việc nhắm mục tiêu địa lý này đánh dấu một sự thay đổi đáng kể trong thiết kế mối đe dọa. Nó cho thấy các nhóm tội phạm có động cơ tài chính đang nhúng logic địa lý cụ thể để theo đuổi các mục tiêu chính trị song song với mục tiêu tài chính.
Hạ Tầng Chỉ Huy và Điều Khiển (C2) Bằng ICP Canister
Một trong những khía cạnh kỹ thuật nổi bật nhất của CanisterWorm là cách TeamPCP quản lý hạ tầng tấn công của mình. Nhóm này sử dụng các Internet Computer Protocol (ICP) canisters.
ICP canisters là các hợp đồng thông minh dựa trên blockchain, kết hợp mã và dữ liệu thành một đơn vị chống giả mạo duy nhất. Các canister này có thể trực tiếp phục vụ nội dung web cho người dùng.
Do chúng chạy trên một mạng blockchain phân tán, việc gỡ bỏ chúng trở nên rất khó khăn. Miễn là các nhà điều hành tiếp tục thanh toán phí tiền ảo cần thiết, các canister sẽ duy trì hoạt động trực tuyến.
Cách tiếp cận này khiến các phương pháp gỡ bỏ truyền thống gần như không hiệu quả. Các cơ quan thực thi pháp luật và nhà cung cấp dịch vụ lưu trữ thường chống lại mã độc bằng cách tịch thu máy chủ, nhưng một cấu trúc lệnh neo trên blockchain hoàn toàn bỏ qua điều đó, tạo ra thách thức lớn cho bảo mật đám mây.
Chiến Thuật Lẩn Tránh và Phát Triển Mã Độc Liên Tục
TeamPCP cũng được phát hiện liên tục sửa đổi payload của mình, thêm các tính năng mới, tạm thời đưa mã độc offline và thậm chí chuyển hướng canister đến một video YouTube không liên quan giữa các cuộc tấn công.
Sự linh hoạt và khả năng thay đổi liên tục này cho thấy nhóm đang tích cực thử nghiệm và tinh chỉnh các công cụ của mình trong thời gian thực. Điều này làm cho việc phát hiện và ngăn chặn trở nên khó khăn hơn đáng kể đối với các nhà bảo vệ.
Khuyến Nghị và Biện Pháp Đối Phó
Các tổ chức đang vận hành Docker, Kubernetes, hoặc Redis trong môi trường đám mây cần kiểm tra cấu hình ngay lập tức. Cần đảm bảo rằng không có API nào bị phơi nhiễm và không có điểm truy cập không xác thực.
Các đội ngũ bảo mật nên xoay vòng SSH keys, cloud credentials, và Kubernetes tokens. Điều này đặc biệt quan trọng nếu Trivy hoặc KICS đã được sử dụng trong các pipeline CI/CD khoảng từ ngày 19 đến 23 tháng 3 năm 2026.
Việc giám sát chặt chẽ hành vi di chuyển ngang và hành vi dựa trên ngôn ngữ/vùng miền (locale-based behavior) trong các container được khuyến nghị mạnh mẽ.
Chủ sở hữu kho lưu trữ GitHub cũng nên xem xét các quy trình làm việc GitHub Actions của mình để tìm kiếm những thay đổi trái phép. Đồng thời, cần thực thi các kiểm soát truy cập nghiêm ngặt trên các mặt phẳng điều khiển đám mây để hạn chế sự phơi nhiễm mà các nhóm như TeamPCP có thể khai thác, tăng cường an ninh mạng tổng thể.
