PCPcat Smascherato: Colossale Furto di Credenziali Colpisce l’Ecosistema Next.js e React

Nella partita a scacchi senza tregua tra difensori e aggressori informatici, è emerso un nuovo avversario dalla spaventosa efficienza. Ribattezzata “Operazione PCPcat”, questa campagna si è silenziosamente infiltrata nelle dorsali digitali di startup e giganti tecnologici, sfruttando debolezze poco note in Next.js e React per orchestrare uno dei più grandi furti di credenziali di massa degli ultimi tempi. Le tracce degli attaccanti conducono dai honeypot globali a un centro di comando sfacciatamente esposto a Singapore-sollevando interrogativi urgenti sulla sicurezza dei moderni framework web e sulla portata delle violazioni invisibili che si celano sotto la superficie.

Anatomia di una Violazione Globale

La campagna PCPcat è un caso di studio sulla professionalità del cybercrimine moderno. I ricercatori di sicurezza, allertati da attività insolite sui honeypot, hanno tracciato la catena d’attacco fino a un centro di comando e controllo (C2) che operava sfacciatamente da un indirizzo IP di Singapore. Accedendo a un endpoint di statistiche non autenticato, gli analisti hanno scoperto la portata dell’operazione: oltre 91.000 IP scansionati, 59.128 takeover di server confermati e un tasso di successo impressionante, vicino al 65%.

Il metodo di PCPcat è tanto insidioso quanto efficace. Gli attaccanti iniziano con una scansione di massa delle istanze Next.js esposte pubblicamente, alla ricerca di installazioni vulnerabili a due falle appena scoperte-CVE-2025-29927 e CVE-2025-66478. Questi bug consentono l’esecuzione di codice remoto tramite un processo chiamato prototype pollution, in cui payload JSON malevoli introducono codice d’attacco nell’ambiente di esecuzione del server.

Una volta all’interno, il malware agisce con precisione chirurgica. Va a caccia dell’oro digitale: file .env, chiavi private SSH, credenziali AWS, configurazioni Docker e token GitHub-bersagli ideali per movimento laterale e takeover di account cloud. I dati rubati vengono rapidamente esfiltrati al C2 tramite endpoint API dedicati, con ogni macchina compromessa che riceve nuovi obiettivi ogni 45 minuti, alimentando un ciclo incessante di infezioni che potrebbe colpire potenzialmente altri 41.000 server al giorno.

La persistenza viene ottenuta tramite l’installazione occulta di componenti GOST e Fast Reverse Proxy (FRP) come servizi systemd, assicurando agli attaccanti il controllo anche dopo i riavvii del sistema. Questa infrastruttura non solo permette scansioni ed exploit continui, ma getta anche le basi per campagne future-trasformando i sistemi compromessi in complici inconsapevoli.

I ricercatori avvertono che la profonda conoscenza degli attaccanti su Next.js e ambienti cloud suggerisce un avversario ben finanziato, forse legato al crimine organizzato o a gruppi sponsorizzati da stati. L’esposizione pubblica delle statistiche della campagna potrebbe essere una svista temporanea, offrendo ai difensori una breve finestra per mappare e interrompere l’operazione prima che gli attaccanti si adattino.

Lezioni dal Manuale PCPcat

Per le organizzazioni che si affidano a Next.js, il messaggio è chiaro: verificate subito i vostri deployment. Controllate accessi non autorizzati, ruotate tutte le credenziali potenzialmente esposte e segmentate le reti per limitare i danni. I team di sicurezza dovrebbero monitorare segnali di prototype pollution, utilizzare regole YARA per rilevare il malware PCPcat e analizzare comportamenti anomali di generazione di processi.

L’Operazione PCPcat è un monito severo: man mano che i framework applicativi diventano più complessi, aumentano anche i vettori d’attacco-rendendo vigilanza e risposta rapida più cruciali che mai.

WIKICROOK

• Prototype Pollution: La Prototype Pollution è una vulnerabilità JavaScript in cui gli attaccanti modificano i prototipi degli oggetti, causando potenzialmente comportamenti imprevisti o problemi di sicurezza nelle applicazioni.
• Remote Code Execution (RCE): La Remote Code Execution (RCE) si verifica quando un attaccante esegue il proprio codice su un sistema vittima, spesso ottenendo il pieno controllo o la compromissione di quel sistema.
• Comando: Un comando è un’istruzione inviata a un dispositivo o software, spesso da un server C2, che lo dirige a eseguire azioni specifiche, talvolta per scopi malevoli.
• File .env: I file .env memorizzano in modo sicuro variabili d’ambiente, come chiavi API e credenziali, mantenendo i dati di configurazione sensibili separati dal codice applicativo.
• Persistenza: La persistenza comprende tecniche utilizzate dal malware per sopravvivere ai riavvii e restare nascosto nei sistemi, spesso imitando processi o aggiornamenti legittimi.