TeamPCP: Selbstverbreitende Malware nistet sich in Quellcodes ein

Eine bislang wenig bekannte Hackergruppe sorgt derzeit weltweit für erhebliche Unruhe in der IT-Sicherheitsbranche: Die unter dem Namen TeamPCP geführte Gruppierung hat eine neue, selbstverbreitende Schadsoftware entwickelt.

Entwickler schon länger aktiv

Erstmals wurde TeamPCP im Dezember von Sicherheitsexperten beobachtet, als die Angreifer unzureichend gesicherte Cloud-Plattformen ins Visier nahmen. Ziel war es zunächst, eine verteilte Infrastruktur aufzubauen, über die weitere Angriffe durchgeführt werden konnten, darunter Datendiebstahl, Erpressung mittels Ransomware und das heimliche Schürfen von Kryptowährungen. Besonders auffällig ist dabei der hohe Grad an Automatisierung und die geschickte Kombination bekannter Angriffstechniken, berichtete das US-Magazin Ars Technica.

In den vergangenen Tagen hat sich die Kampagne jedoch deutlich verschärft. Die Gruppe nutzte eine Lieferketten-Attacke, um nahezu alle Versionen des weit verbreiteten Sicherheits-Tools Trivy zu kompromittieren. Grundlage dafür war ein bereits zuvor erfolgter Zugriff auf interne Systeme des Herstellers Aqua Security. Offenbar wurden dabei Zugangsdaten nicht vollständig erneuert, sodass die Angreifer weiterhin Kontrolle über zentrale Konten behalten konnten.


Parallel dazu verbreitete sich eine neue Schadsoftware, die von Sicherheitsforschern "CanisterWorm" genannt wird, rasant weiter. Sie ist in der Lage, sich ohne Zutun der Nutzer selbstständig auf weitere Systeme auszubreiten. Besonders kritisch: Nach der Infektion durchsucht das Programm Rechner nach Zugangsdaten zu Software-Repositories und infiziert automatisch weitere Programmpakete. So entsteht eine Kettenreaktion, die sich über Entwickler- und Unternehmensnetzwerke hinweg fortsetzt.

Kamikaze-Angriff auf Rechner mit Iran-Bezug

Eine ungewöhnliche technische Besonderheit ist die Steuerung der Malware über ein schwer manipulierbares System auf Basis von Blockchain-ähnlicher Technologie. Dadurch konnten die Angreifer ihre Infrastruktur flexibel anpassen und lange Zeit vor Abschaltung schützen.

Auffällig ist auch eine weitere Funktion: Auf Systemen mit Bezug zum Iran aktiviert die Schadsoftware keinen Datendiebstahl, sondern ein Löschprogramm namens "Kamikaze", das komplette Systeme zerstören kann. Die Motivation dahinter ist bislang unklar, da frühere Aktivitäten der Gruppe primär finanziell motiviert waren. Experten warnen, dass die Angriffe eine neue Eskalationsstufe darstellen. Besonders Softwareentwickler und Unternehmen mit automatisierten Entwicklungsprozessen könnten betroffen sein, oft ohne es bereits bemerkt zu haben.


Siehe auch: