2020’ye kadar uzanan etkinliği inceleyen araştırmacılar, TeamPCP adıyla bilinen grubun önce internetten erişilebilen sistemleri hedef aldığını, ardından yazılım tedarik zincirine yöneldiğini ortaya koydu. Grup; Ray, Docker, Redis ve React ekosistemlerinde görülen saldırı dalgalarıyla ilişkilendiriliyor ve son bulgular, bu faaliyetlerin 2025’in ikinci yarısında gözlenen kampanyalardan çok önce başladığını gösteriyor.
Oligo Security’den Avi Lumelsky ve Gal Elbaz, bağlantının çakışan alan adları, zararlı yazılım dağıtım yolları, hazırlık teknikleri, arka uç altyapısı ve operasyonel çalışma tarzı üzerinden kurulduğunu belirtti. Ekip, TeamPCP’nin yeni bir tehdit aktörü gibi görünse de aslında daha eski bir operasyonel ekosistemin devamı olduğunu savunuyor.
Araştırmacıların aktardığına göre TeamPCP, 2020’den beri siber suç sahnesinde etkin ve bu da grubun yazılım tedarik zincirini hedef almadan önce yıllar boyunca internet yüzüne açık altyapıları ihlal ettiğini gösteriyor. Oligo, TeamPCP adının gerisindeki faaliyetin tek bir kampanyaya dayanmadığını, farklı dönemlerde görülen bağlantılı operasyonlardan oluştuğunu ifade ediyor.
Redis’ten AI altyapısına uzanan zincir
İncelenen bulgular, 2025’in ikinci yarısında öne çıkan iki kampanyayı da aynı yapıya bağlıyor. Bunlardan ShadowRay 2.0, diğer adıyla IronErn, yapay zekâ altyapısını ele geçirip kendi kendine yayılabilen bir botnete dönüştürmeye odaklandı. TA-NATALSTATUS ise dışarıya açık Redis sunucularını hedef alarak kripto para madencileri dağıttı.
TA-NATALSTATUS’un, Trend Micro’nun Nisan 2020’de ayrıntılandırdığı ve yine Redis sunucularını hedef alan eski bir kampanyanın evrimi olduğu değerlendiriliyor. Bu tablo, saldırganların TeamPCP adını kullanmadan çok önce de internete açık altyapılara dönük sistematik bir faaliyet yürüttüğüne işaret ediyor.
Grubun izleri ilk kez geçen yılın sonunda görünür oldu. O dönemde araştırmacılar, React Server Components (RSC) ve Next.js’teki güvenlik açıklarının istismar edilmesiyle bağlantılı bir kampanyayı TeamPCP ile ilişkilendirdi. Operation PCPcat adı verilen bu faaliyet, ele geçirilen ortamlardan kimlik bilgileri ve hassas verilerin sızdırılmasını amaçlıyordu.
Bu yılın başında ise Flare, tehdit aktörünün bulut-yerel ortamlara dönük büyük ölçekli bir operasyon yürüttüğünü aktardı. Flare güvenlik araştırmacısı Assaf Morag, operasyonun amacını dağıtık bir proxy ve tarama altyapısını geniş ölçekte kurmak, ardından sunucuları ele geçirerek veri sızdırmak, fidye yazılımı yerleştirmek, şantaj yapmak ve kripto para üretmek olarak tanımladı.
Morag, o dönemde saldırganların aynı zamanda kötü amaçlı altyapıyı sonraki sömürü girişimleri için hazırladığını da vurguladı. Flare’ın aktardığı hedefler, erişim elde etmenin ötesinde, ele geçirilen sistemleri proxy, tarama, sızdırma ve madencilik için yeniden kullanma yaklaşımını ortaya koydu.
Oligo’nun son analizine göre grup, modern yazılımın birbirine bağlı yapısını silah haline getirerek yüksek profilli tedarik zinciri ihlallerine de yöneldi. Saldırganlar, GitHub Actions ile token hırsızlığını birleştirip popüler açık kaynak kütüphaneleri zehirleyerek geliştirici sistemlerine toplu bulaşma sağlamaya çalıştı.
Araştırmacılar, ShadowRay 2.0 sırasında görülen IronErn GitHub ve GitLab kimlikleri ile TeamPCP’nin daha sonra kullandığı altyapı arasında güçlü bir operasyonel bağ bulunduğunu söylüyor. GitLab kimlik doğrulama kayıtları, komuta-kontrol altyapısı, ters kabuk etkinliği ve zararlı yazılım hazırlama adımlarının birlikte incelenmesi, ShadowRay 2.0 ile sonradan TeamPCP adıyla faaliyet gösteren aktör arasında doğrudan bir bağlantı kuruyor.
Oligo, son bulguların yalnızca bu kampanyaların ilişkilendirildiğini değil, aynı zamanda tehdit aktörünün React, Docker, Redis ve Ray’i etkileyen bilinen güvenlik açıklarını tekrar tekrar istismar ettiğini de gösterdiğini bildirdi. Araştırmacılar, otomatik ve solucan benzeri yayılma tekniklerinin kullanıldığını, bu sayede saldırganların erişim sağladıkları sistemlerden kendi kendine yayılabildiğini aktarıyor.
Bu süreklilik, kullanılan araçlarda da görülüyor. Kubernetes ortamları ele geçirildikten sonra kullanılan “kube.py” adlı Python betiği, daha önce yayılma ve kalıcılık sağlama işlevleriyle öne çıkarken, Mart 2026’ya kadar görülen yeni sürümler silici benzeri özellikler kazandı.
Yıkıcı kod akışı, kurban sistemin İran saat dilimine göre ayarlanıp ayarlanmadığını kontrol ediyor. Eğer sistem İran saat dilimindeyse, “Kamikaze” adı verilen siliciyle kümedeki her düğümü temizleyen bir DaemonSet çalıştırılıyor. Kubernetes düğümleri İran dışında bulunuyorsa CanisterWorm arka kapısı devreye giriyor. Kubernetes kullanmayan İran sistemlerinde ise zararlı yazılım, tüm dosya sistemini silen “poison_pill()” rutinini yürütüyor.
Oligo, TeamPCP adının gerçekten yeni bir yapılanmayı mı, ortak çalışan bir operatör grubunu mu yoksa tarihsel olarak bağlantılı aktörlerin yakın işbirliğini mi temsil ettiğinin kesin biçimde söylenemeyeceğini vurguladı. Buna karşın eldeki verilerin, TeamPCP’nin 2025’in sonlarında aniden ortaya çıkan bağımsız bir tehdit aktörü değil, daha eski bir operasyonel yapının devamı olduğunu açık biçimde gösterdiğini kaydetti.