TeamPCP risale al 2020 mentre ClickFix porta un crypto-drainer sui Mac

🛡️ Executive Summary

• Oligo collega TeamPCP ad attività contro Redis, Ray e Docker risalenti al 2020, ricostruendo una continuità operativa precedente alle campagne supply chain.
• Su macOS una campagna ClickFix installa uno stealer Go che sottrae Keychain, password e dati dei wallet attraverso payload dedicati alle CPU ARM64 e Intel.
• Il malware integra una funzione DRAIN capace di prelevare solo parte dei fondi crypto, mentre l’infrastruttura è associata al provider sanzionato Aeza Group.

Due ricerche ricostruiscono l’evoluzione di operatori criminali che combinano infrastrutture esposte, social engineering e furto di criptovalute. Oligo Security collega TeamPCP ad attività contro server Redis risalenti almeno al 2020, suggerendo che il gruppo noto per le più recenti compromissioni della supply chain rappresenti l’evoluzione di un ecosistema operativo molto più vecchio. Huntress, parallelamente, analizza una compromissione macOS iniziata attraverso ClickFix e culminata nell’installazione di uno stealer capace di sottrarre credenziali, dati del Keychain e fondi crypto. La funzione più particolare consente agli attaccanti di drenare soltanto una percentuale del wallet, rendendo il furto potenzialmente meno immediato da riconoscere.

TeamPCP mostra una continuità operativa che risale almeno al 2020

La storia pubblica di TeamPCP è legata soprattutto alle campagne supply chain del 2026 contro repository, workflow GitHub e progetti open source, ma l’analisi di Oligo Security sull’infrastruttura storica di TeamPCP retrodata l’ecosistema operativo fino al 2020. I ricercatori hanno correlato domini, directory utilizzate per distribuire i malware, infrastrutture C2, modalità di staging e tecniche post-compromissione con attività precedentemente tracciate come TA-NATALSTATUS e successivamente come IronErn.

Oligo non sostiene che sia possibile dimostrare con certezza assoluta una coincidenza completa degli operatori: le evidenze sono compatibili anche con una stretta collaborazione o con la condivisione dell’infrastruttura. La continuità tecnica è però significativa e offre una nuova chiave di lettura delle operazioni già osservate quando TeamPCP ha trasformato Docker e Kubernetes in una superficie per un worm cloud-native e, pochi mesi dopo, quando PCPJack ha iniziato a sottrarre segreti AWS e a eliminare malware concorrenti dai server Linux.

Redis era già un bersaglio prima della stagione delle supply chain

La ricostruzione di Oligo collega TeamPCP alle intrusioni contro Redis precedentemente attribuite a TA-NATALSTATUS, campagna considerata a sua volta un’evoluzione di operazioni documentate già nel 2020. La strategia consisteva nel cercare servizi raggiungibili da Internet, comprometterli attraverso configurazioni deboli o vulnerabilità note e trasformarli in infrastrutture per cryptomining, propagazione e accesso remoto. Nei dati raccolti successivamente ricompaiono gli stessi percorsi di staging, tra cui la directory /EP9ts2/, gli script ndt.sh, nnt.sh, is.sh e rs.sh e domini appartenenti allo stesso ecosistema.

Redis resta un obiettivo estremamente interessante per questo tipo di automazione, come dimostrano il precedente malware Migo specializzato nella compromissione dei server Redis e HeadCrab 2.0, che utilizzava server Redis compromessi per il mining di criptovalute. Più recentemente, l’attenzione sulla piattaforma è aumentata con gli zero-day Redis individuati dagli agenti Kimi K3, confermando come un database esposto senza un adeguato confine di rete possa rapidamente diventare un punto di ingresso verso l’intero ambiente.

ShadowRay collega TeamPCP alle infrastrutture AI e cloud

Un altro passaggio della ricostruzione riguarda ShadowRay 2.0, campagna del 2025 nella quale cluster Ray esposti sono stati trasformati in una botnet auto-propagante. Oligo collega ora quella attività agli account GitHub e GitLab IronErn, IronErn440 e least3654, osservando sovrapposizioni tra autenticazioni GitLab, reverse shell, indirizzi di comando e controllo e domini successivamente associati a TeamPCP. Il dominio masscan[.]cloud, per esempio, compare sia nell’infrastruttura ShadowRay sia nelle operazioni successive del gruppo. L’evoluzione è coerente con un attore che inizialmente monetizzava server esposti e successivamente ha compreso il valore molto maggiore delle credenziali cloud e delle pipeline di sviluppo. Il salto era diventato evidente quando TeamPCP aveva compromesso Trivy e Checkmarx attraverso GitHub Actions e quando la compromissione di Checkmarx aveva allargato il rischio ai sistemi di sicurezza utilizzati dagli sviluppatori. L’obiettivo non cambia completamente: cambia la leva, passando dalla singola macchina esposta alla possibilità di raggiungere contemporaneamente migliaia di ambienti downstream.

Dalla compromissione dei server al furto dei segreti degli sviluppatori

Nel 2026 TeamPCP ha progressivamente trasferito le proprie capacità sulle software supply chain, sfruttando token rubati, workflow GitHub, progetti open source e pacchetti distribuiti attraverso ecosistemi di sviluppo. Oligo considera questa trasformazione una prosecuzione naturale del modello precedente: automazione, capacità wormable e riutilizzo di infrastrutture collaudate vengono applicati a componenti che garantiscono una distribuzione molto più ampia del payload. Lo stesso percorso è emerso quando TeamPCP ha messo in vendita repository attribuiti a Mistral AI dopo una nuova fase della campagna e quando GitHub ha confermato la compromissione di migliaia di repository interni attraverso un’estensione VS Code malevola. La successiva crisi della supply chain tra GitHub, Grafana e TeamPCP dimostra quanto questa evoluzione abbia aumentato l’impatto potenziale rispetto al semplice cryptojacking su un server Redis. L’attribuzione storica di Oligo suggerisce quindi che TeamPCP non sia apparso improvvisamente con gli attacchi open source, ma abbia accumulato per anni esperienza nella compromissione automatizzata di infrastrutture Internet.

ClickFix porta uno stealer direttamente nel Terminale di macOS

La seconda ricerca riguarda una compromissione molto diversa. Durante un’attività retrospettiva svolta nel giugno 2026, Huntress ha identificato su un Mac monitorato i componenti di un malware installato circa tre mesi prima. L’infezione era partita da una pagina ClickFix raggiunta attraverso un link ricevuto via email. La vittima aveva visualizzato un falso controllo CAPTCHA che chiedeva di copiare una lunga stringa e incollarla nel Terminale.

Come ricostruisce Huntress nell’analisi tecnica del crypto-drainer per macOS, il comando scaricava uno script Bash, lo eseguiva, cancellava il file temporaneo e ripuliva sia la schermata sia la cronologia del Terminale. La tecnica conferma l’estensione di ClickFix oltre Windows già osservata nelle campagne DOUBLECUP con CountLoader e DeviceManager e nelle operazioni in cui ClickFix ha utilizzato EtherHiding e infrastrutture collegate a wallet nordcoreani. Non serve sfruttare una falla di macOS: è l’utente stesso, convinto dal falso CAPTCHA, ad autorizzare l’esecuzione iniziale.

Il loader riconosce Apple Silicon e Intel prima di scaricare il payload

Lo script iniziale raccoglie un profilo dettagliato del Mac, comprendente informazioni hardware e architettura della CPU, per stabilire quale payload Mach-O distribuire. Huntress ha osservato varianti dedicate ai sistemi ARM64, quindi Apple Silicon, e alle piattaforme con architettura differente. Il malware finale è scritto in Go e raccoglie dati dai browser, password, cookie, credenziali memorizzate e informazioni presenti nel macOS Keychain. Utilizza inoltre osascript per mostrare alla vittima una falsa finestra di sistema e convincerla a inserire la propria password, aumentando ulteriormente l’accesso ai dati protetti. Questa combinazione tra social engineering e malware nativo ricorda CrashStealer, che su macOS sottraeva credenziali e wallet attraverso un dropper notarizzato, mentre sul fronte della persistenza e dell’abuso dell’ecosistema Apple si inserisce nella stessa crescita delle minacce osservata con XCSSET v40 nei progetti Xcode. Il Mac non viene quindi colpito attraverso un singolo exploit sofisticato, ma attraverso una catena che combina fiducia dell’utente, script shell e payload compilati espressamente per la piattaforma.

La funzione DRAIN può rubare solo una parte delle criptovalute

La funzionalità più particolare individuata da Huntress è denominata DRAIN. Il malware cerca indirizzi di wallet, ne controlla il saldo e può configurare il trasferimento verso portafogli controllati dagli attaccanti. A differenza dei crypto-drainer che tentano di svuotare completamente il conto, il campione permette di definire quale porzione del saldo sottrarre, lasciando quindi intenzionalmente una parte dei fondi alla vittima. Huntress sottolinea di non avere incontrato in precedenza questa capacità specifica nei wallet-drainer analizzati e precisa che, al momento della pubblicazione, non dispone di perdite documentate attribuibili direttamente alla funzione. La scelta può avere un vantaggio operativo: un trasferimento parziale può risultare meno evidente di un wallet completamente svuotato e consentire all’operatore di mantenere più a lungo l’accesso alla vittima. Il targeting finanziario ricorda le campagne di BlueNoroff basate su falsi Zoom e Teams per sottrarre wallet e credenziali e malware come OKOBot, progettato per recuperare seed phrase da dispositivi Trezor e Ledger. Nel caso Huntress, tuttavia, non viene attribuita pubblicamente la campagna a BlueNoroff o ad altri gruppi già noti.

Aeza Group collega la campagna a un’infrastruttura bulletproof

Il loader, l’hosting dei payload e i server di comando e controllo osservati da Huntress utilizzavano intervalli IP appartenenti ad Aeza Group, provider russo di bulletproof hosting già associato a infrastrutture utilizzate da gruppi cybercriminali e ransomware. Aeza era stata sottoposta a sanzioni statunitensi nel 2025, successivamente affiancate da misure britanniche e australiane, ma la ricerca mostra come risorse appartenenti al suo ecosistema continuino a comparire in campagne malware.

Questo elemento non consente da solo di identificare gli autori dello stealer: un provider bulletproof può servire numerosi clienti criminali differenti e l’attribuzione deve restare separata dall’hosting. Il dato è però rilevante perché mostra la persistenza di infrastrutture specializzate nel mantenere online loader, C2 e sistemi di esfiltrazione nonostante gli interventi delle autorità. L’utilizzo di servizi criminal-friendly accompagna una trasformazione già evidente con Dolphin X Stealer e il targeting automatizzato di centinaia di applicazioni e con le campagne in cui Google ha previsto una crescita ulteriore degli attacchi contro la supply chain open source. Nel caso dei Mac analizzati da Huntress, la misura difensiva più immediata resta impedire che falsi CAPTCHA trasformino istruzioni ricevute da una pagina web in comandi eseguiti direttamente nel Terminale.

Server esposti e utenti ingannati restano due accessi estremamente redditizi

TeamPCP e il crypto-drainer macOS seguono percorsi tecnici differenti, ma mostrano due strategie che continuano a produrre risultati per il cybercrime. La prima elimina il bisogno di convincere una persona: cerca Redis, Docker, Ray e altri servizi esposti, automatizza la compromissione e successivamente sfrutta l’accesso ottenuto per mining, persistenza, furto di segreti o propagazione. La seconda rinuncia alla vulnerabilità software e convince invece l’utente ad avviare personalmente il primo stadio del malware. In entrambi i casi l’obiettivo economico rimane evidente e può convergere sulle criptovalute, sia attraverso il cryptomining sia mediante la sottrazione diretta dei wallet. L’evoluzione di TeamPCP verso supply chain e credenziali cloud, insieme alla capacità del malware macOS di scegliere quanto sottrarre a un wallet, mostra soprattutto una crescente attenzione alla persistenza e alla monetizzazione progressiva, invece della sola compromissione immediatamente distruttiva. Per Redis e gli altri servizi Internet-facing questo significa ridurre drasticamente l’esposizione e applicare autenticazione e patch; per macOS significa trattare come ostile qualsiasi pagina che chieda di incollare comandi nel Terminale, anche quando si presenta come una verifica CAPTCHA apparentemente legittima.