TeamPCP搞出0day蠕蟲：專殺伊朗機器，用區(qū)塊鏈當(dāng)遙控器

去年12月，一個叫TeamPCP的黑客團(tuán)伙還在老老實實挖礦勒索。三個月后，他們突然給自家惡意軟件加了條"伊朗特供"的自殺指令——檢測到波斯語時區(qū)就執(zhí)行rm -rf /，連Kubernetes集群一起揚了。

更離譜的是遙控器。傳統(tǒng)僵尸網(wǎng)絡(luò)用域名或IP指揮肉雞，抓到一個就全端了。這群人直接把命令中心塞進(jìn)ICP（互聯(lián)網(wǎng)計算機協(xié)議）的canister里——區(qū)塊鏈上的智能合約容器，刪不掉、封不了、溯源還費勁。

Aikido安全研究員Charlie Eriksen跟KrebsOnSecurity聊這事時說了句實在話：「他們就是在炫技?！拱此耐茰y，TeamPCP手里攥著的憑證遠(yuǎn)比已曝光的多，這次更像是投名狀，給潛在客戶看"我們能搞多臟"。

從勒索工具到地緣政治武器，只需要一個if語句

TeamPCP的成名作是去年冬天。他們盯上Docker、Kubernetes、Redis、Next.js這些云原生基礎(chǔ)設(shè)施——程序員天天用，但配置漏洞也一抓一把。 infected機器被編成代理網(wǎng)絡(luò)，租出去搞勒索、挖礦、數(shù)據(jù)竊取，典型的黑產(chǎn)SaaS模式。

CanisterWorm是這個生意的2.0版。傳播路徑?jīng)]變：npm包投毒、容器鏡像篡改、暴露的Redis實例，老套路但好用。真正的新活兒藏在payload里——時區(qū)檢測模塊。

代碼邏輯粗暴得像個惡作?。篻etTimezoneOffset()返回的值落在伊朗標(biāo)準(zhǔn)時間（UTC+3:30）區(qū)間，直接觸發(fā)wipe函數(shù)。Kubernetes環(huán)境調(diào)用API刪全集群，普通虛擬機執(zhí)行經(jīng)典Linux刪庫命令，--no-preserve-root參數(shù)確保連系統(tǒng)文件都不留。

非伊朗機器？該干嘛干嘛，繼續(xù)感染、繼續(xù)傳播、繼續(xù)給TeamPCP的代理網(wǎng)絡(luò)添磚加瓦。這種精準(zhǔn)的地域歧視在蠕蟲史上都罕見——Stuxnet搞伊朗核設(shè)施好歹有國家背景，一幫搞黑產(chǎn)賺錢的突然玩起民族主義，圖什么？

Eriksen的猜測是：這是技術(shù)廣告。能寫出自適應(yīng)時區(qū)的擦除邏輯，能玩轉(zhuǎn)ICP canister當(dāng)C2，說明團(tuán)隊里有真懂系統(tǒng)底層的人。展示這種能力，比任何銷售話術(shù)都管用——"我們連伊朗政府機器都敢抹，你的目標(biāo)算個屁？"

區(qū)塊鏈當(dāng)遙控器：抓不著、關(guān)不掉、還免費

ICP是Dfinity基金會搞的項目，愿景是"把互聯(lián)網(wǎng)重新去中心化"。canister是他們的核心抽象——類似以太坊的智能合約，但能跑完整Web應(yīng)用，存儲和計算都鏈上完成，用戶只付cycles（類似gas費）。

TeamPCP看中的正是這個架構(gòu)特性。傳統(tǒng)僵尸網(wǎng)絡(luò)的命門在C2服務(wù)器——域名會被 sinkhole，IP會被封禁，基礎(chǔ)設(shè)施被抓就全完。ICP canister沒有固定IP，調(diào)用是通過網(wǎng)絡(luò)神經(jīng)系統(tǒng)（NNS）隨機路由到節(jié)點，封單個canister需要ICP治理投票，等投票完蠕蟲早換馬甲了。

更妙的是成本。cycles用ICP代幣換，而代幣可以混幣洗過再充。Eriksen團(tuán)隊追蹤到的控制canister，生命周期內(nèi)消耗的cycles價值不到200美元——養(yǎng)一個全球僵尸網(wǎng)絡(luò)的指揮鏈，比買杯星巴克還便宜。

這種設(shè)計把"去中心化"的雙刃劍特性暴露無遺。Dfinity官方文檔強調(diào)canister的"抗審查"和"永久運行"，現(xiàn)在成了惡意軟件的避風(fēng)港。社區(qū)有人提議引入內(nèi)容審核機制，但純鏈上執(zhí)行怎么審？審了還叫去中心化嗎？

TeamPCP不是第一個打主意的。2023年就有研究團(tuán)隊演示過用以太坊智能合約存C2域名，但那是概念驗證。CanisterWorm是第一個大規(guī)模實戰(zhàn)案例，而且選了個技術(shù)門檻更高的平臺——ICP的Motoko語言和actor模型，比Solidity小眾得多。

npm供應(yīng)鏈：蠕蟲的高速公路

傳播層面，CanisterWorm沒發(fā)明新輪子，只是把舊輪子擰緊了。npm生態(tài)的脆弱性是公開秘密：每周下載量過億的包，維護(hù)者棄坑、賬號被盜、依賴嵌套像俄羅斯套娃，攻擊面大得離譜。

TeamPCP的具體手法沒完全公開，但從Aikido的遙測數(shù)據(jù)能拼湊出輪廓。他們盯上的是幾個中等流行度的DevOps工具包——不是lodash那種明星庫，而是CI/CD流水線里的螺絲釘，比如某Kubernetes配置生成器、某Docker鏡像掃描插件。這些包周下載量幾萬到幾十萬，維護(hù)者響應(yīng)慢，被篡改后幾周才有人發(fā)現(xiàn)。

感染后的行為也經(jīng)過精心設(shè)計。第一階段是偵察：收集機器上的云憑證、SSH密鑰、kubeconfig文件，回傳到ICP canister。第二階段是橫向移動：用偷來的憑證掃描內(nèi)網(wǎng)，找更多Kubernetes集群和Redis實例。只有確認(rèn)時區(qū)非伊朗，才進(jìn)入第三階段——把機器編入代理網(wǎng)絡(luò)。

伊朗機器跳過第三階段，直接進(jìn)終章。這種"白名單"式的地域篩選，讓蠕蟲在伊朗境外表現(xiàn)得像個普通礦工，低調(diào)賺錢；一進(jìn)伊朗境內(nèi)就變身自毀裝置，高調(diào)示威。

一個細(xì)節(jié)值得玩味：時區(qū)檢測代碼里留了注釋掉的GPS坐標(biāo)檢查分支。Eriksen團(tuán)隊認(rèn)為那是未完成的備用方案——萬一伊朗用戶把系統(tǒng)時區(qū)改成UTC，還有物理位置兜底。這幫人想得挺全。

誰在買這種服務(wù)？

TeamPCP的商業(yè)模式是"惡意基礎(chǔ)設(shè)施即服務(wù)"。他們的Telegram頻道（現(xiàn)在已被封）曾公開招租：代理網(wǎng)絡(luò)按流量計費，DDoS按Gbps計價，數(shù)據(jù)竊取按GB分成。CanisterWorm的加入，相當(dāng)于產(chǎn)品線多了個"定制擦除"的選項。

但擦除伊朗機器本身不產(chǎn)生收入。Eriksen分析，這可能是兩類客戶在買單：一類是地緣政治玩家，想搞破壞但不想臟自己的手；另一類是勒索團(tuán)伙，用"我們能物理摧毀你"來增加談判籌碼——"不給錢？我們不止加密，還讓你永遠(yuǎn)恢復(fù)不了。"

伊朗網(wǎng)絡(luò)安全部門（MAHER）至今沒公開回應(yīng)此事。民間有安全研究員在Twitter發(fā)牢騷，說政府部門的日志留存策略一團(tuán)糟，被抹了都不知道從哪開始查。這種基礎(chǔ)設(shè)施層面的代差，讓"炫技"變成了真?zhèn)Α?/p>

CanisterWorm的代碼里還有處黑色幽默。擦除前會向控制臺打印一行波斯語："???? ???? ??"——游戲結(jié)束。字體用的是伊朗流行的Vazirmatn，顯然專門挑過。

這行字現(xiàn)在成了伊朗DevOps社區(qū)的梗。有人在GitHub建了監(jiān)控腳本，檢測進(jìn)程里出現(xiàn)這個字符串就自動斷網(wǎng)保平安。更多人則在問：下一個被"游戲結(jié)束"的會是誰？TeamPCP的if語句里，還藏著多少國家的時區(qū)代碼？