C
月内に
脅威アクター「PCPJack」が、AWS、Google Cloud、Azure上のクラウドサーバー230台を侵害し、隠密なメールリレーネットワークを構築していた…
📌 一言でいうと
脅威アクター「PCPJack」が、AWS、Google Cloud、Azure上のクラウドサーバー230台を侵害し、隠密なメールリレーネットワークを構築していたことが判明しました。この操作は、攻撃者がC2サーバー上のツールキットやログを含むディレクトリを誤って公開したことで、Hunt.ioの研究者によって発見されました。公開されたフォルダには、ソースコード、マルウェアバイナリ、Sliver C2の構成ファイルなどが含まれていました。
🔍該当判定
- AWS、Google Cloud、Microsoft Azureのいずれかで仮想サーバーを運用している
- 自社で構築したメール送信サーバー（リレーサーバー）をクラウド上で運用している
- クラウドサーバーの管理画面や設定ファイルを、パスワードなしで外部からアクセス可能な状態で公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
クラウド環境における不必要なポートの開放を制限し、認証設定の不備がないか定期的に監査することを推奨します。また、不審なメール送信元やリレーサーバーの通信を監視してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】クラウドベースのメールリレーネットワーク（PCPJack）について
お疲れさまです。脅威アクター「PCPJack」によるクラウドインフラの悪用に関する情報共有です。
■ 概要
攻撃者がAWS、Azure、GCP上のサーバー230台を侵害し、メールリレーネットワークとして利用していたことが判明しました。Sliver C2などのツールを用いて運用されており、フィッシングメール等の配信基盤として利用されていた可能性があります。
■ 影響範囲
- パブリッククラウド（AWS, GCP, Azure）上の設定不備があるサーバー
- 同ネットワークを介したメール受信者
■ 対応手順
1. クラウド環境におけるHTTP/HTTPS公開ディレクトリの権限設定を再確認し、認証なしでアクセス可能な機密情報がないか監査してください。
2. 不審なアウトバウンドメール通信（SMTPリレー等）のログを確認してください。
■ 参考情報
- Hunt.io リサーチレポート
対応優先度: 低
対応期限: 随時
お疲れさまです。脅威アクター「PCPJack」によるクラウドインフラの悪用に関する情報共有です。
■ 概要
攻撃者がAWS、Azure、GCP上のサーバー230台を侵害し、メールリレーネットワークとして利用していたことが判明しました。Sliver C2などのツールを用いて運用されており、フィッシングメール等の配信基盤として利用されていた可能性があります。
■ 影響範囲
- パブリッククラウド（AWS, GCP, Azure）上の設定不備があるサーバー
- 同ネットワークを介したメール受信者
■ 対応手順
1. クラウド環境におけるHTTP/HTTPS公開ディレクトリの権限設定を再確認し、認証なしでアクセス可能な機密情報がないか監査してください。
2. 不審なアウトバウンドメール通信（SMTPリレー等）のログを確認してください。
■ 参考情報
- Hunt.io リサーチレポート
対応優先度: 低
対応期限: 随時
Subject: [Info] Cloud-based Email Relay Network (PCPJack)
Dear team,
We are sharing information regarding a cloud-based email relay network operated by the threat actor PCPJack.
■ Overview
Researchers discovered that PCPJack compromised 230 cloud servers across AWS, Google Cloud, and Azure to create a covert email relay network. The operation was exposed due to a misconfiguration on the actor's C2 server, revealing toolkits and Sliver C2 files.
■ Scope
- Misconfigured servers in public cloud environments (AWS, GCP, Azure)
- Organizations targeted by emails relayed through this network
■ Recommended Actions
1. Audit public-facing cloud directories to ensure no sensitive tools or logs are exposed without authentication.
2. Monitor for unusual outbound SMTP traffic from cloud instances.
■ Reference
- Hunt.io Research Report
Priority: Low
Deadline: Ongoing
Dear team,
We are sharing information regarding a cloud-based email relay network operated by the threat actor PCPJack.
■ Overview
Researchers discovered that PCPJack compromised 230 cloud servers across AWS, Google Cloud, and Azure to create a covert email relay network. The operation was exposed due to a misconfiguration on the actor's C2 server, revealing toolkits and Sliver C2 files.
■ Scope
- Misconfigured servers in public cloud environments (AWS, GCP, Azure)
- Organizations targeted by emails relayed through this network
■ Recommended Actions
1. Audit public-facing cloud directories to ensure no sensitive tools or logs are exposed without authentication.
2. Monitor for unusual outbound SMTP traffic from cloud instances.
■ Reference
- Hunt.io Research Report
Priority: Low
Deadline: Ongoing