Descoberta e escopo
Um grupo de cibercriminosos conhecido como TeamPCP tem comprometido ambientes de nuvem desde o final de 2025, operando um worm auto-propagante chamado CanisterWorm. A campanha, que agora atrai séria preocupação da comunidade de segurança, visa APIs do Docker mal protegidas, clusters do Kubernetes, servidores Redis e sistemas vulneráveis à falha React2Shell. Uma vez dentro, o worm se move lateralmente pelas redes das vítimas, roubando credenciais e extorquindo organizações através do Telegram.
A pesquisa da firma de segurança Flare indica que a infraestrutura comprometida é massiva: o Azure responde por cerca de 61% dos servidores comprometidos, enquanto a AWS representa outros 36%, totalizando 97% de toda a infraestrutura afetada. O grupo não depende de novas explorações, mas sim de vulnerabilidades conhecidas e más configurações de nuvem, transformando planos de controle expostos em um ecossistema criminal auto-espalhante.
Ataque à cadeia de suprimentos e payload destrutivo
Em 19 de março de 2026, o TeamPCP escalou suas operações lançando um ataque à cadeia de suprimentos contra o Trivy, um scanner de vulnerabilidades amplamente utilizado da Aqua Security. Os atacantes injetaram malware que rouba credenciais nos releases oficiais do GitHub Actions, colhendo chaves SSH, credenciais de nuvem, tokens do Kubernetes e carteiras de criptomoedas de usuários desprevenidos.
Embora os arquivos maliciosos tenham sido posteriormente removidos, um dano significativo já havia ocorrido. No fim de semana de 22 a 23 de março, o grupo implantou um novo payload destrutivo que se ativa quando o sistema da vítima usa o fuso horário do Irã ou tem o Farsi definido como idioma padrão. Charlie Eriksen, pesquisador de segurança na Aikido, explicou que, se o wiper detectar um cluster do Kubernetes em um sistema iraniano, ele destruirá dados em todos os nós desse cluster. Sem um cluster, ele simplesmente apaga a máquina local.
Infraestrutura de comando baseada em blockchain
Um dos aspectos mais tecnicamente impressionantes do CanisterWorm é como o TeamPCP gerencia sua infraestrutura de ataque. O grupo usa canisters do Internet Computer Protocol (ICP), contratos inteligentes baseados em blockchain que combinam código e dados em uma única unidade à prova de adulteração. Esses canisters podem servir conteúdo web diretamente aos usuários e, por operarem em uma rede blockchain distribuída, são muito difíceis de derrubar.
Enquanto os operadores mantiverem pagando as taxas de moeda virtual necessárias, os canisters permanecem online e ativos. Essa abordagem torna os métodos tradicionais de derrubada quase ineficazes. A polícia e os provedores de hospedagem geralmente lutam contra malware confiscando servidores, mas uma estrutura de comando ancorada em blockchain contorna isso inteiramente. O TeamPCP também foi visto modificando rapidamente seu payload, adicionando novos recursos, tirando o malware offline temporariamente e até redirecionando o canister para um vídeo do YouTube não relacionado entre ataques.
Medidas de mitigação recomendadas
Organizações executando Docker, Kubernetes ou Redis em ambientes de nuvem devem auditar imediatamente as configurações para APIs expostas e pontos de acesso não autenticados. As equipes devem rotacionar chaves SSH, credenciais de nuvem e tokens do Kubernetes, especialmente se o Trivy ou KICS foi usado em pipelines de CI/CD entre 19 e 23 de março de 2026.
O monitoramento para movimento lateral e comportamento baseado em localidade em contêineres é fortemente recomendado. Proprietários de repositórios do GitHub também devem revisar seus fluxos de trabalho do Actions para alterações não autorizadas e impor controles de acesso rigorosos aos planos de controle de nuvem para limitar a exposição que grupos como o TeamPCP exploram.
Perguntas frequentes
- O que é o CanisterWorm? É um worm auto-propagante operado pelo grupo TeamPCP que visa ambientes de nuvem.
- Como ele se espalha? Explora APIs do Docker, Kubernetes e Redis mal configurados.
- Qual o impacto? Roubo de credenciais, extorsão e, em casos específicos, destruição de dados (wiper) em sistemas com fuso horário do Irã.
- Como se proteger? Auditar configurações de nuvem, rotacionar credenciais e revisar fluxos de trabalho do GitHub Actions.