En ciberseguridad existe una categoría de operaciones tan poco habitual como efectiva: hackear al hackeador. Un grupo desconocido —al que la empresa de ciberseguridad SentinelOne ha bautizado como PCPJack— está irrumpiendo en sistemas ya comprometidos por el grupo cibercriminal TeamPCP, expulsándolo y tomando control de las víctimas. Lo publica Lorenzo Franceschi-Bicchierai en TechCrunch este 7 de mayo, basándose en un nuevo informe de SentinelOne.
TeamPCP es un grupo cibercriminal que ha acumulado titulares recientes por ataques de perfil alto: brechas en la infraestructura cloud de la Comisión Europea, el compromiso del popular escáner de vulnerabilidades Trivy que afectó a empresas que dependían de él —entre ellas el proyecto open source LiteLLM y la startup de selección de personal con IA Mercor—. En este contexto, PCPJack opera como parásito del parásito: entra donde TeamPCP ya ha abierto la puerta.
Cómo funciona PCPJack
El patrón de ataque de PCPJack, según SentinelOne, tiene tres fases. Primero, localiza sistemas ya comprometidos por TeamPCP —o sistemas directamente vulnerables a través de servicios expuestos como Docker o MongoDB—. Segundo, una vez dentro, expulsa a TeamPCP eliminando sus herramientas y cerrando su acceso. Tercero, despliega su propio código diseñado para propagarse como gusano por la infraestructura cloud, robar credenciales de múltiples tipos y enviar los datos de vuelta a su propia infraestructura.
El dato más llamativo del informe de SentinelOne es que las propias herramientas de PCPJack llevan un contador del número de víctimas donde han expulsado con éxito a TeamPCP y lo envían de vuelta al servidor de control. Es un indicador interno de rendimiento que los investigadores han podido observar directamente en el análisis de las herramientas capturadas.
A diferencia de operaciones de ransomware o criptominería, PCPJack no instala mineros de criptomonedas en los sistemas comprometidos. Alex Delamotte, la investigadora senior de SentinelOne que descubrió la campaña, explica la razón: minar criptomonedas requiere tiempo para generar beneficio; PCPJack es puramente oportunista y prefiere credenciales que puede monetizar rápidamente —vendiéndolas en mercados de acceso inicial (initial access brokers), permitiendo acceso pagado a los sistemas hackeados, o extorsionando directamente a las víctimas.
Quién está detrás y qué motiva la operación
La identidad de PCPJack es desconocida. Delamotte maneja tres hipótesis: miembros descontentos del propio TeamPCP, un grupo rival que quiere eliminar competencia y quedarse con sus víctimas, o un tercero que «eligió modelar sus herramientas de ataque directamente sobre las campañas anteriores de TeamPCP.» Esta tercera hipótesis tiene soporte técnico: los servicios que PCPJack ataca «se parecen mucho a las campañas de diciembre-enero de TeamPCP, antes del supuesto cambio en la composición del grupo entre febrero y marzo.»
Lo que está claro es la motivación: puramente financiera. PCPJack roba credenciales con foco en monetizarlas a través de todos los canales disponibles. También usa dominios en sus operaciones que sugieren phishing de gestores de contraseñas, y sitios de soporte técnico falsos para capturar credenciales adicionales.
La situación ilustra un patrón que no es nuevo pero que se está intensificando. En un ecosistema criminal donde los ataques a infraestructura cloud crecen en sofisticación y los grupos cibercriminales compiten por las mismas víctimas, hackear al hackeador es una estrategia económicamente racional: reduces la competencia, maximizas el acceso y reciclas el trabajo de reconocimiento ya hecho por otro grupo. Como cubrimos en el análisis del hackeo de agencias gubernamentales mexicanas con Claude y ChatGPT, las barreras de entrada para los atacantes se están reduciendo, lo que multiplica el número de actores en el espacio —incluyendo actores que compiten entre sí.
Mi valoración
Llevo siguiendo la evolución del ecosistema de grupos APT y cibercriminales organizados desde el ciclo Lazarus, y la operación PCPJack es un síntoma de algo importante: el mercado del cibercrimen se está consolidando. Cuando los grupos empiezan a atacarse entre sí para apropiarse de sus víctimas, es señal de que el espacio está sobrepoblado y los recursos (sistemas comprometidos) son escasos respecto a la demanda.
Lo que más me convence del análisis de SentinelOne es la precisión: tenemos el nombre bautizado (PCPJack), el método detallado, y el dato observable del contador interno. Eso sugiere que SentinelOne tiene acceso a las herramientas reales del grupo y no solo a efectos indirectos de sus ataques.
Lo que más me preocupa es la proliferación del modelo. Si PCPJack demuestra que apropiarse de víctimas de otros grupos es más eficiente que comprometer víctimas desde cero, más grupos adoptarán la estrategia. El resultado es un ciberespacio donde las víctimas sufren ataques en capas —primero el grupo original, luego quien lo expulsa—, y la superficie de exposición no disminuye con el tiempo sino que se reutiliza indefinidamente.
Preguntas frecuentes
¿Qué es TeamPCP y por qué es relevante?
TeamPCP es un grupo cibercriminal conocido por ataques de alto perfil recientes, incluyendo la brecha en la infraestructura cloud de la Comisión Europea y el compromiso del escáner de vulnerabilidades open source Trivy, que afectó a empresas que dependían de él como herramienta de seguridad. Es uno de los grupos más activos en ataques a infraestructura cloud en los últimos meses.
¿PCPJack trabaja para algún gobierno o es un grupo independiente?
SentinelOne no ha atribuido PCPJack a ningún actor estatal. Las hipótesis de la investigadora Alex Delamotte son tres: ex miembros de TeamPCP, un grupo rival, o un tercero que copió las metodologías de TeamPCP. La motivación es puramente financiera (robo y venta de credenciales), sin señales de espionaje ni objetivos políticos. El origen del grupo permanece desconocido.
¿Qué tipo de sistemas ataca PCPJack?
PCPJack ataca principalmente infraestructura cloud: sistemas con Docker y bases de datos MongoDB expuestos en internet, además de cualquier sistema donde detecta que TeamPCP ya ha establecido presencia. Una vez dentro, busca credenciales de todo tipo —accesos a servicios cloud, bases de datos, cuentas de usuario— que pueda vender o usar para extorsión directa.