Eine PCPJack-Infektion beginnt laut SentinelOne mit einem Linux-Shell-Skript, das die Umgebung vorbereitet und weitere Schadkomponenten nachlädt. Noch davor durchsucht es das System nach Prozessen und Artefakten, die zu bekannten TeamPCP-Infektionen passen, und entfernt sie.
Anschließend legt das Skript eine virtuelle Python-Umgebung an, lädt sechs Module aus einem AWS-S3-Bucket herunter, benennt sie um, richtet einen Mechanismus zur dauerhaften Verankerung ein und startet das erste Modul, das als zentraler Orchestrator des Frameworks dient. Danach löscht sich das Skript selbst. Die übrigen Module werden vom Orchestrator eingebunden und erfüllen jeweils eigene Aufgaben, darunter das Auslesen von Zugangsdaten, seitliche Bewegung im Netzwerk, die Verschlüsselung der Kommunikation mit dem Command-and-Control-Server, die Abfrage von Cloud-IP-Bereichen sowie das Scannen von Cloud-Diensten.
Vom lokalen System stiehlt PCPJack unter anderem .env- und Konfigurationsdateien, Umgebungsvariablen, SSH-Schlüssel, Kryptowährungs-Wallets sowie Zugangsdaten und Tokens für zahlreiche Web- und Cloud-Dienste. Dazu zählen AWS, Kubernetes, Docker, Gmail, GitHub, Office 365/Outlook, RayML, Slack und WordPress.
Aus der Art der gesammelten Zugangsdaten leitet SentinelOne die mutmaßlichen Ziele ab: vor allem Spam-Kampagnen und Finanzbetrug oder schlicht das Weiterverkaufen gestohlener Daten an entsprechend ausgerichtete Akteure. Die Einbeziehung von Unternehmenssoftware wie Slack und geschäftlichen Datenbankdiensten erweitere den Fokus zudem auf Erpressungsangriffe.
Zur Verbreitung führt PCPJack eine Erkundung des Systems durch, versucht sich seitlich weiterzubewegen und lädt Parquet-Dateien von Common Crawl herunter, um über das Internet weitere Ziele zu identifizieren und zu infizieren. Das Verbreitungsmodul nimmt bekannte Schwachstellen in Webanwendungen ins Visier, darunter CVE-2025-29927 (Next.js), CVE-2025-55182 (React2Shell), CVE-2026-1357 (WPVivid-Backup-Plugin für WordPress), CVE-2025-9501 (W3-Total-Cache-Plugin für WordPress) und CVE-2025-48703 (CentOS Web Panel).
Darüber hinaus versucht das Framework, mit den erbeuteten Zugangsdaten auf Kubernetes-, Docker-, Redis-, RayML- und MongoDB-Installationen überzugreifen, und nutzt SSH-Schlüssel, um das Ausgangsskript auf entfernten Rechnern auszuführen. Für die Steuerung setzt PCPJack auf Telegram und verschlüsselt die an seinen Kanal gesendeten Daten.
Im Zuge der Untersuchung stieß SentinelOne auf ein zweites Werkzeugset desselben Akteurs. Es umfasst Sliver-Implantate und den Diebstahl von Zugangsdaten über Dutzende Cloud-Dienste, darunter Anthropic, Digital Ocean, Discord und Google API, sowie die bereits von PCPJack angegriffenen Dienste. Beide Werkzeugsets seien ausgereift und als modulares Framework angelegt, trotz mancher Überschneidungen im Verhalten. Auffällig seien gelegentliche Nachlässigkeiten bei der eigenen Tarnung – insbesondere, dass der Akteur alles verschlüssele mit Ausnahme der Telegram-Zugangsdaten und der eigenen mutmaßlichen Infrastruktur.