🚨حملات یک گروه هکری به نام TeamPCP نشان می‌دهد که آن‌ها با یک استراتژی عجیب و خطرناک، خوشه‌های کوبرنتیز (Kubernetes) را هدف قرار داده‌اند. نکته‌ تکان‌دهنده
اینجاست که این بدافزار یک «هدف‌گیری جغرافیایی» دارد که اگر سیستم متعلق به ایران باشد، همه چیز را پاک می‌کند! خوشه‌های کوبرنتیز در واقع مجموعه‌ای از سرورهای متصل‌به‌هم هستند که وظیفه مدیریت و اجرای اپلیکیشن‌های بزرگ و پرکاربرد را بر عهده دارند. این خوشه‌ها مانند قلب تپنده زیرساخت‌های آنلاین عمل می‌کنند

⚠️#بدافزار ابتدا چک می‌کند که آیا سیستم فرد مورد نظر در محدوده زمانی ایران قرار دارد یا نه.
اگر سیستم در ایران باشد، بدافزار بدون معطلی وارد فاز تخریب می‌شود، در محیط کوبرنتیز یک مخزن (Pod) به نام Kamikaze (انتحاری) ایجاد می‌کند که دسترسی کامل به فایل‌های اصلی سرور دارد. این پاد تمام پوشه‌های روت را پاک کرده و سیستم را ری‌بوت می‌کند تا کاملا از کار بیفتد.

🔴در سیستم‌های معمولی (بدون کوبرنتیز)، بدافزار سعی می‌کند با دستور مشهور rm -rf / تمام اطلاعات در دسترس را حذف کند.

🕒اگر سیستم در خارج از ایران باشد، به جاسوسی بسنده می‌کند! در این حالت، هکرها به دنبال تخریب نیستند. آن‌ها یک #درب‌پشتی پایتونی روی سیستم نصب می‌کنند. این کد مخفی به صورت یک سرویس سیستمی اجرا می‌شود تا حتی با ری‌ست شدن سرور، هکرها همچنان به آن دسترسی داشته باشند.

🔍محققان متوجه شده‌اند که نسخه‌های جدیدتر این بدافزار هوشمندتر شده‌اند؛ بدافزار فقط به یک سیستم قانع نیست. اگر کوبرنتیز نباشد، از طریق پروتکل SSH شروع به پخش شدن می‌کند. بدافزار لاگ‌های سیستم را برای پیدا کردن یوزرهای معتبر جست‌وجو کرده و از کلیدهای خصوصی سرقت شده برای ورود به سایر سرورها استفاده می‌کند.

#نشانه‌های_آلودگی برای متخصصین شبکه:
🔻اگر در شبکه خود با موارد زیر مواجه شدید، احتمالاً هدف این گروه قرار گرفته‌اید.

🔻اتصالات خروجی SSH با پارامتر مشکوک StrictHostKeyChecking=no.

🔻تلاش برای اتصال به پورت ۲۳۷۵ داکر در کل شبکه داخلی.

🔻مشاهده کانتینرهای Alpine با دسترسی بالا (Privileged) که فایل‌سیستم اصلی سرور روی آن‌ها سوار (Mount) شده است.
@PaskoochehBot
@Paskoocheh