Tin tặc tấn công nạn nhân đã bị tin tặc khác tấn công

Tin tặc tấn công các nạn nhân đã bị tin tặc khác tấn công

Người dùng internet thông thường và các tập đoàn không phải là những nạn nhân duy nhất của tin tặc độc hại. Đôi khi, chính những tin tặc này cũng bị tấn công. Đó là những gì đã xảy ra trong một chiến dịch hack bất thường, nơi một nhóm tin tặc vô danh nhắm mục tiêu vào các hệ thống đã bị xâm nhập bởi một nhóm tội phạm mạng khét tiếng có tên là TeamPCP. Theo một báo cáo mới của công ty an ninh mạng SentinelOne, sau khi xâm nhập vào các hệ thống đó, những tin tặc này ngay lập tức loại bỏ các tin tặc TeamPCP và gỡ bỏ các công cụ của chúng. Từ đó, những tin tặc này sử dụng quyền truy cập của mình để triển khai mã được thiết kế để sao chép trên các cơ sở hạ tầng đám mây khác nhau như một loại sâu tự lây lan, đánh cắp nhiều loại thông tin đăng nhập khác nhau và cuối cùng gửi dữ liệu bị đánh cắp trở lại cơ sở hạ tầng của chúng.

TeamPCP là một nhóm tội phạm mạng đã gây chú ý trong vài tuần qua, nhờ một loạt các vụ hack nổi tiếng được cho là do nhóm này thực hiện. Các vụ hack này bao gồm một cuộc tấn công vào cơ sở hạ tầng đám mây của Ủy ban Châu Âu và một cuộc tấn công mạng quy mô lớn nhằm vào công cụ quét lỗ hổng bảo mật được sử dụng rộng rãi Trivvy, ảnh hưởng đến bất kỳ công ty nào dựa vào nó, bao gồm LiteLLM và công ty khởi nghiệp tuyển dụng AI Mercor, cùng với những công ty khác.

Alex Delamotte, nhà nghiên cứu cấp cao của SentinelOne, người đã tìm ra chiến dịch hack mới và đặt tên là "PCPJack," nói với TechCrunch rằng vẫn chưa rõ ai đứng sau nó. Tại thời điểm này, Delamotte cho biết ba giả thuyết của cô là những tin tặc này có thể là những cựu thành viên TeamPCP bất mãn; là một phần của một nhóm đối thủ; hoặc một bên thứ ba "chọn mô phỏng trực tiếp các công cụ tấn công của họ theo các chiến dịch trước đó của TeamPCP," nhiều trong số đó nhắm mục tiêu vào cơ sở hạ tầng đám mây.

"Các dịch vụ bị PCPJack nhắm mục tiêu rất giống với các chiến dịch tháng 12-tháng 1 của TeamPCP, trước sự thay đổi bị cáo buộc trong thành viên nhóm xảy ra vào tháng 2-tháng 3," Delamotte nói.

Delamotte cũng lưu ý rằng các tin tặc không chỉ nhắm mục tiêu vào các hệ thống bị xâm nhập bởi TeamPCP, mà họ còn quét internet để tìm các dịch vụ lộ diện như nền tảng đám mây máy ảo Docker, cơ sở dữ liệu chạy MongoDB và những dịch vụ khác. Nhưng SentinelOne cho biết nhóm này dường như tập trung phần lớn vào việc nhắm mục tiêu TeamPCP.

Techcrunch event San Francisco, CA | October 13-15, 2026

Theo báo cáo, các công cụ của chính những tin tặc này giữ một bản thống kê về số lượng mục tiêu bị tấn công mà họ đã trục xuất thành công TeamPCP bằng cách gửi thông tin này trở lại cơ sở hạ tầng của họ. Mục tiêu của các tin tặc PCPJack dường như hoàn toàn là tài chính, vì họ đánh cắp thông tin đăng nhập với trọng tâm là kiếm tiền từ chúng. Những tin tặc này làm điều này bằng cách bán lại chúng, bán quyền truy cập vào các hệ thống bị tấn công với tư cách là những người môi giới quyền truy cập ban đầu - những tin tặc xâm nhập vào các hệ thống và sau đó cho phép khách hàng trả tiền vào các máy bị tấn công, hoặc bằng cách tống tiền trực tiếp các nạn nhân. Tuy nhiên, những tin tặc này không cố gắng cài đặt phần mềm để khai thác tiền điện tử trên các hệ thống bị tấn công, có lẽ vì chiến lược đó đòi hỏi nhiều thời gian hơn để thu lợi nhuận, theo Delamotte.

Là một phần của một số cuộc tấn công của họ, những tin tặc này đang sử dụng các tên miền cho thấy họ đang lừa đảo thông tin đăng nhập của trình quản lý mật khẩu và sử dụng các trang web trợ giúp giả mạo, theo Delamotte.

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể kiếm được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập biên tập của chúng tôi.

Lorenzo Franceschi-Bicchierai là một nhà văn cấp cao tại TechCrunch, nơi anh ấy đưa tin về hack, an ninh mạng, giám sát và quyền riêng tư. Bạn có thể liên hệ hoặc xác minh phạm vi tiếp cận từ Lorenzo bằng cách gửi email đến lorenzo@techcrunch.com, thông qua tin nhắn được mã hóa tại +1 917 257 1382 trên Signal và @lorenzofb trên Keybase/Telegram. Xem Tiểu sử