TeamPCP: Sechs Jahre Redis-Angriffe treffen jetzt die Supply Chain

Sechs Jahre. Das ist der Abstand zwischen dem Trend-Micro-Bericht vom April 2020 über Redis-Server, die zu Cryptominer-Hosts umfunktioniert wurden, und der Entdeckung im März 2026 von kube.py-Varianten, die einen Kubernetes-Wiper namens Kamikaze ausliefern. Die neue Analyse von Oligo Security argumentiert, dass diese beiden Datenpunkte auf derselben operativen Zeitlinie liegen – die Zwischenschritte führen über Ray, Docker, React, Next.js, GitHub Actions und eine Supply-Chain-Kampagne, die Open-Source-Bibliotheken erreichte, auf die Entwickler tatsächlich angewiesen sind.

Die Zahlen

Die zentrale These ist Kontinuität über rund 72 Monate Angreifer-Aktivität gegen internet-exponierte Infrastruktur, wie The Hacker News von den Oligo-Forschern Avi Lumelsky und Gal Elbaz berichtete. Das Ausgangsereignis ist der Trend-Micro-Bericht vom April 2020, der Redis-Server beschreibt, die kompromittiert wurden, um Malware einzuschleusen. Das aktuelle Ereignis ist TA-NATALSTATUS, eine von zwei Kampagnen, die Oligo TeamPCP im zweiten Halbjahr 2025 zuschreibt und die exponierte Redis-Server angreift, um Kryptowährungs-Miner auszuliefern. Dieselbe Protokolloberfläche, derselbe Monetarisierungspfad, sechs Jahre auseinander.

Die zweite Kampagne aus dem 2. Halbjahr 2025, ShadowRay 2.0 (auch als IronErn bekannt), schwenkte auf KI-Infrastruktur um und kaperte Ray-Cluster zu einem selbst-propagierenden Botnet. Das ist eine grundlegend andere Zielklasse als Redis, aber die operative Infrastruktur überschneidet sich. Oligos konkrete Aussage: Die bei ShadowRay 2.0 genutzten IronErn-GitHub- und GitLab-Identitäten korrelieren mit der späteren Infrastruktur von TeamPCP durch GitLab-Authentifizierungsprotokolle, Command-and-Control-Endpunkte, Reverse-Shell-Aktivitäten und Malware-Staging-Pfade.

Zwischen diesen Kampagnen aus dem 2. Halbjahr 2025 und heute liegen zwei weitere benannte Operationen auf der Zeitlinie. Operation PCPcat, Ende 2025 aufgedeckt, verband die Gruppe mit der Ausnutzung von Sicherheitslücken in React Server Components und Next.js, mit Credential- und Datenextraktion als Ziel. Anfang 2026 dokumentierte Flare eine separate Kampagne gegen cloud-native Umgebungen. Flares Assaf Morag fasste die Ziele zusammen als: Aufbau eines verteilten Proxys und einer Scan-Infrastruktur im großen Maßstab, dann Kompromittierung von Servern zur Datenexfiltration, Ransomware-Einsatz, Erpressung und Kryptowährungs-Mining. Das ist ein vollständiger Monetarisierungsansatz, kein Einzelzweck-Team.

Die Liste der betroffenen Technologien verdient Aufmerksamkeit: Ray, Docker, Redis, React, Next.js, Kubernetes, GitHub Actions. Das ist kein exotisches Exploit-Portfolio. Es ist der Standard-Stack eines mittelgroßen Fintechs, iGaming-Betreibers oder Ad-Tech-Unternehmens im Jahr 2026. Was Oligo nicht offenlegt – und was für Verteidiger wichtig wäre – ist die absolute Opferzahl über das Sechsjahreszeitraum oder das Volumen der abgebauten Kryptowährung. Ohne diese Angaben lässt sich die Auswirkung nur durch Rückschlüsse abschätzen: Ein selbst-propagierendes Botnet gegen Ray-Cluster plus systematisches Redis-Scanning impliziert mindestens vier- bis fünfstellige Kompromittierungszahlen – aber das ist meine Einschätzung, keine belegte Zahl.

Was wirklich neu ist

Zwei Dinge unterscheiden die Aktivitäten von 2025 bis 2026 vom Ausgangspunkt 2020 – und beide sind für Engineering-Teams wichtiger als die Attributionsfrage.

Das erste ist der Wandel von opportunistischen Infrastrukturkompromittierungen hin zu Software-Supply-Chain-Kompromittierungen. Oligo beschreibt, wie TeamPCP GitHub Actions als Waffe einsetzt und gestohlene Tokens missbraucht, um populäre Open-Source-Bibliotheken zu vergiften und damit nachgelagert Entwicklersysteme zu infizieren. Das ist ein anderes Bedrohungsmodell als „jemand hat deinen Redis auf Port 6379 gefunden". Im Jahr 2020 war das Versagensmuster ein exponierter Dienst. Im Jahr 2026 ist das Versagensmuster eine vertrauenswürdige Abhängigkeit in deiner package.json, die über CI bezogen wurde, das eine legitime GitHub Action ausführte, deren Maintainer drei Ebenen weiter oben kompromittiert worden war. Der Schadensradius skaliert mit der Popularität der Bibliothek, nicht mit der Angriffsfläche deines Perimeters.

Das zweite wirklich neue Element ist destruktive Absicht – geografisch konditioniert. Frühere kube.py-Varianten konzentrierten sich auf Ausbreitung und Persistenz, typisches Botnet-Verhalten. Varianten vom März 2026 fügten eine Zeitzonenprüfung hinzu: Wenn das kompromittierte System auf iranische Zeit eingestellt ist, feuert die Malware ein DaemonSet ab, das jeden Knoten im Kubernetes-Cluster mit einem Wiper namens Kamikaze löscht. Nicht-Kubernetes-Systeme im Iran erhalten eine poison_pill()-Routine, die das Dateisystem löscht. Systeme außerhalb des Irans erhalten CanisterWorm, eine Backdoor. Das ist eine bifurkierte Nutzlast, bei der derselbe initiale Zugriff je nach Zeitzonenstring entweder Spionage oder Zerstörung ergibt – ein primitives, aber effektives Targeting-Verfahren.

Die technische Implikation ist unbequem. Ein zeitzonenbedingter Wiper bedeutet, dass dasselbe kompromittierte Container-Image, dasselbe vergiftete npm-Paket, derselbe ausgenutzte Ray-Endpunkt sich in deiner gesamten Infrastruktur radikal unterschiedlich verhalten können, wenn irgendwelche Knoten abweichende Zeitzonenkonfigurationen haben. Multi-Region-Betreiber, die Docker-Images mit aus Basis-Layern geerbten Locale-Einstellungen verwenden, sollten kein einheitliches Kompromittierungsverhalten über Regionen hinweg annehmen. Die Quelle legt nicht offen, ob Kamikaze die System-Zeitzone, die Container-Zeitzone oder eine Umgebungsvariable prüft – was wichtig ist, da diese drei Antworten drei verschiedene Mitigationsstrategien implizieren.

Was Engineering-Teams bereits eingepreist haben sollten

Die meisten technischen Grundmuster hier sind jedem Plattform-Team bereits bekannt, das aufmerksam war. Exponierte Redis-Instanzen, die für Cryptomining genutzt werden, ist eine Geschichte aus 2020, gegen die Plattform-Ingenieure seit Jahren durch Auth-Anforderungen, Netzwerkrichtlinien und Cloud-Provider-Standardhärtung vorgehen. Kubernetes-Wurmverhalten via kube.py-ähnlicher Skripte ist ein gut dokumentiertes Muster, das bis zu Hildegard und TeamTNT zurückreicht. Supply-Chain-Kompromittierung über GitHub Actions und gestohlene Maintainer-Tokens ist dasselbe Bedrohungsmodell, das den tj-actions-Vorfall, den ua-parser-js-Vorfall und jeden npm-postinstall-Hook-Advisory in jüngster Zeit hervorgebracht hat.

Was meiner Meinung nach noch nicht eingepreist ist, ist die operative Implikation von Oligos Kernbefund: dass TeamPCP kein neuer Akteur aus Ende 2025 ist, sondern die Fortsetzung eines sechs Jahre alten operativen Ökosystems. Das verändert, wie man zukünftige Indicators of Compromise einordnen sollte. Wenn ein Threat-Intel-Feed eine Domain als „TeamPCP-Infrastruktur" markiert, ist die praktische Frage, ob diese Domain auch in Redis-Mining-Logs aus 2020 bis 2022 oder in Docker-Missbrauch-Writeups aus 2023 bis 2024 auftauchte. Retroaktive IOC-Korrelation mit der eigenen historischen Telemetrie wird wertvoll. Teams, die Firewall- und Audit-Logs älter als 12 Monate aus Kostengründen verworfen haben, haben gerade die Fähigkeit verloren zu beantworten, ob sie von früheren Iterationen desselben Teams betroffen waren.

Der zweite unterschätzte Punkt ist, dass der laut Flare genannte Monetarisierungsmix der Gruppe breit ist: Proxy-Infrastruktur, Scanning, Exfiltration, Ransomware, Erpressung, Cryptomining. Ein Verteidiger, der diesen Akteur als „Cryptominer" modelliert und die Erkennung entsprechend abstimmt, wird den Erpressungspfad übersehen. Detection Engineering muss hier den gesamten Stack abdecken, was jede Haltung des „Wir kümmern uns nur um hochgradige Ereignisse" in Frage stellt.

Gegenteilige Betrachtung

Die Konsensmeinung zu Oligos Analyse ist, dass TeamPCP ein dauerhafter, ausgereifter Gegner ist, der sich seit 2020 still weiterentwickelt hat. Die Gegenposition ist, dass Oligo selbst explizit einschränkt: Die Forscher sagen, ob die Kontinuität ein direktes Rebranding, eine gemeinsame Gruppe von Betreibern oder eine enge Zusammenarbeit zwischen historisch verwandten Akteuren widerspiegelt, „kann nicht mit 100-prozentiger Sicherheit bestimmt werden". Das ist ein bedeutsamer Vorbehalt. Überschneidende Handwerkskunst, Staging-Techniken und Infrastruktur können auf eine einzelne Gruppe hinweisen – oder sie können auf ein gemeinsames Toolkit hinweisen, das in einem bestimmten kriminellen Ökosystem zirkuliert, so wie Cobalt-Strike-Beacons oder Mirai-Varianten von nicht verwandten Gruppen wiederverwendet werden.

Wenn die zweite Interpretation der Realität näher kommt, dreht sich die praktische Implikation um. Man verteidigt sich dann nicht gegen einen einzigen hartnäckigen Angreifer, der sein Vorgehen verfeinert, sondern gegen ein kommerzialisiertes Toolkit, das von jedem aufgegriffen wird, der in diesem Quartal einen funktionierenden Redis-Scanner oder Ray-Exploit benötigt. Das verändert den Wert von Attribution (sinkt) und erhöht den Wert generischer Expositionsreduzierung (steigt). Die unbeantwortete Frage – und ich würde sie wie folgt eingrenzen: Wenn wir in den nächsten 12 Monaten denselben kube.py-Kamikaze-Wiper in Kampagnen mit eindeutig unterschiedlicher C2-Infrastruktur und unterschiedlichen Monetarisierungsmustern sehen, gewinnt die „gemeinsames Toolkit"-Hypothese. Wenn nicht, hält die Lesart des „einzelnen sich entwickelnden Akteurs".

Wichtigste Erkenntnisse

• Die Trend-Micro-Redis-Kampagne von 2020 und die TA-NATALSTATUS-Kampagne von 2025 zielen auf dieselbe Dienstklasse mit derselben Monetarisierung ab – sechs Jahre auseinander. Das ist der stärkste einzelne Datenpunkt in Oligos Kontinuitätsargument.
• Die kube.py-Variante vom März 2026 führt einen zeitzonenbedingten Wiper ein (Kamikaze für Kubernetes-Cluster mit Iran-Zeitzone, CanisterWorm-Backdoor andernorts), was bedeutet, dass identische Kompromittierungen in einer Multi-Region-Infrastruktur unterschiedliche Ergebnisse liefern können.
• Die Supply-Chain-Reichweite verläuft jetzt über GitHub-Actions-Missbrauch und Token-Diebstahl gegen populäre Open-Source-Bibliotheken, sodass Perimeter-only-Verteidigungen den aktuellen Angriffspfad vollständig verfehlen.
• Oligos eigener Vorbehalt, dass Kontinuität „nicht mit 100-prozentiger Sicherheit bestimmt werden kann", bedeutet, dass Engineering-Teams TeamPCP-Indikatoren eher als Signal eines gemeinsamen Ökosystems als als Signal eines einzelnen Akteurs behandeln sollten.
• Überprüfbare Vorhersage: Wenn die Kontinuitätsthese korrekt ist, sollten wir mindestens eine im Jahr 2026 offengelegte Kampagne sehen, die konkrete IOCs (Domain, C2-IP oder Malware-Hash) mit dem Trend-Micro-Redis-Writeup von 2020 teilt – und zwar innerhalb der nächsten sechs Monate. Wenn keine solche Überschneidung auftaucht, gewinnt die Shared-Toolkit-Interpretation an Gewicht.