文章总结： TeamPCP组织攻击Kubernetes集群并部署针对伊朗系统的擦除器，非伊朗系统则植入后门。该活动复用CanisterWorm的C2设施与代码，利用DaemonSet挂载主机目录实施破坏或持久化控制。针对伊朗系统，脚本通过特权容器删除文件系统或执行rm-rf命令；针对其他系统则安装Python后门。新变种还具备SSH传播能力，利用窃取的凭证横向移动。建议排查特定SSH连接行为及未授权DockerAPI访问等指标。 综合评分： 82 文章分类： 威胁情报,云安全,恶意软件

TeamPCP在Kubernetes攻击中部署针对伊朗的擦除器

原创

ZM ZM

暗镜

2026年3月25日 06:00 荷兰

TeamPCP 黑客组织使用恶意脚本攻击 Kubernetes 集群，该脚本会在检测到配置为伊朗使用的系统时清除所有机器。

该威胁行为者应对最近针对 Trivy漏洞扫描器的供应链攻击负责，还应对 3 月 20 日开始的名为“CanisterWorm”的基于 NPM 的活动负责。

应用安全公司 Aikido 的研究人员表示，针对 Kubernetes 集群的攻击活动使用了与 CanisterWorm 事件中相同的命令与控制 (C2)、后门代码和投放路径。然而，新的攻击活动有所不同，它包含针对伊朗系统的破坏性载荷，并在其他地区的节点上安装 CanisterWorm 后门。

“该脚本使用了我们在 CanisterWorm 活动中记录的完全相同的 ICP 容器（tdtqy-oyaaa-aaaae-af2dq-cai[.]raw[.]icp0[.]io）。相同的 C2，相同的后门代码，相同的 /tmp/pglog 投放路径，” Aikido 说。“通过 DaemonSets 进行 Kubernetes 原生横向移动与 TeamPCP 已知的策略一致，但这种变种增加了一些我们以前从未见过的东西：专门针对伊朗系统的地缘政治目标破坏性载荷。”

据 Aikido 研究人员称，该恶意软件旨在摧毁任何与伊朗时区和地区匹配的计算机，无论是否存在 Kubernetes。

如果两个条件都满足，则脚本会在“kube-system”中部署名为“Host-provisioner-iran”的 DaemonSet，该 DaemonSet 使用特权容器并将主机根文件系统挂载到 /mnt/host。

每个 pod 运行一个名为“kamikaze”的 Alpine 容器，该容器会删除主机文件系统上的所有顶级目录，然后强制主机重启。

如果 Kubernetes 存在，但系统被识别为非伊朗系统，则恶意软件会使用特权容器部署名为“host-provisioner-std”的 DaemonSet，并将主机文件系统挂载到该容器中。

每个 pod 不会擦除数据，而是将一个 Python 后门写入主机文件系统，并将其安装为 systemd 服务，使其在每个节点上持久存在。

在没有 Kubernetes 的伊朗系统上，该恶意软件会通过运行带有 --no-preserve-root 标志的 rm -rf/ 命令，删除机器上所有文件，包括系统数据，只要当前用户可以访问这些文件。如果 root 权限不可用，它会尝试使用无密码 sudo 命令。

Aikido 报告称，该恶意软件的最新版本使用了相同的 ICP 容器后门，省略了基于 Kubernetes 的横向移动，而是使用 SSH 传播，解析身份验证日志以获取有效凭据，并使用窃取的私钥。

研究人员重点指出了该活动的一些关键指标，包括从受感染主机发出的带有“StrictHostKeyChecking+no”的出站 SSH 连接、通过本地子网到端口 2375 的 Docker API 的出站连接，以及通过未经身份验证的 Docker API 访问特权 Alpine 容器（其中 / 挂载为主机路径）。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM ZM《TeamPCP在Kubernetes攻击中部署针对伊朗的擦除器》