TeamPCP

También conocido como: altered spider, canisterworm, deadcatx3, pcpcat, shadow-water-058, shellforce, unc6780

[TeamPCP](https://attack.mitre.org/groups/G1056) is a financially-motivated, cloud-native threat group that has been active since at least September 2025. Initially focused on ransomware and cryptocurrency theft, [TeamPCP](https://attack.mitre.org/groups/G1056) shifted in early 2026 to systematic, worm-driven credential theft and software supply chain attacks targeting Continuous Integration and Continuous Delivery (CI/CD) workflows. [TeamPCP](https://attack.mitre.org/groups/G1056) has monetized access through extortion and through partnerships with ransomware actors including Vect and CipherForce.(Citation: Wiz TeamPCP Profile MAY 2026)(Citation: Wiz Trivy Compromise MAR 2026)(Citation: Aqua Security Trivy Compromise MAR 2026)(Citation: Aqua Security Blog Trivy Compromise APR 2026)(Citation: Palo Alto TeamPCP MAR 2026)(Citation: Trend Micro TeamPCP MAY 2026)

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

Gestión de cuentas de usuario (8 técnicas cubiertas)
Gestión de cuentas privilegiadas (7 técnicas cubiertas)
Formación de usuarios (6 técnicas cubiertas)
Prevención de ejecución (6 técnicas cubiertas)
Auditoría (5 técnicas cubiertas)
Restringir permisos de ficheros y carpetas (4 técnicas cubiertas)
Autenticación multifactor (4 técnicas cubiertas)
Limitar la instalación de software (4 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1027.003 · Steganography T1036.005 · Match Legitimate Resource Name or Location T1543.002 · Systemd Service T1555.006 · Cloud Secrets Management Stores T1583.001 · Domains T1528 · Steal Application Access Token T1059.006 · Python T1547.001 · Registry Run Keys / Startup Folder T1552.004 · Private Keys T1105 · Ingress Tool Transfer T1486 · Data Encrypted for Impact T1190 · Exploit Public-Facing Application T1078 · Valid Accounts T1587.001 · Malware T1583.006 · Web Services T1195.001 · Compromise Software Dependencies and Development Tools T1098 · Account Manipulation T1550.001 · Application Access Token T1684.001 · Impersonation T1078.004 · Cloud Accounts T1546.016 · Installer Packages T1564.001 · Hidden Files and Directories T1485 · Data Destruction T1683.001 · Written Content T1585.001 · Social Media Accounts T1059.007 · JavaScript T1553.002 · Code Signing T1005 · Data from Local System T1657 · Financial Theft T1059.013 · Container CLI/API T1059.004 · Unix Shell T1583.004 · Server T1608.001 · Upload Malware T1677 · Poisoned Pipeline Execution T1583 · Acquire Infrastructure T1176.002 · IDE Extensions

Víctimas recientes

Sin datos todavía.

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.