Un gruppo cybercriminale finanziariamente motivato si è inserito nelle tensioni tra Iran e paesi occidentali rilasciando un worm che si diffonde tramite servizi cloud mal configurati e distrugge i dati sui sistemi che rilevano come localizzati in Iran (fuso orario iraniano o lingua Farsi come default).
Il gruppo, noto come TeamPCP, è relativamente nuovo — attivo dal dicembre 2025 — ma ha già fatto una carriera fulminea sulla scena del cybercrime cloud-native. La campagna contro l’Iran, battezzata CanisterWorm dai ricercatori di Aikido, è andata operativa nel weekend del 21-22 marzo 2026.
Il meccanismo di propagazione
TeamPCP non usa exploit zero-day sofisticati. La sua forza sta nell’automazione su larga scala di tecniche già note: si concentra su piani di controllo cloud esposti anziché su endpoint. Secondo un profilo pubblicato a gennaio dalla società di sicurezza Flare, il 97% dei server compromessi dal gruppo sono su Azure (61%) e AWS (36%).
Il worm cerca attivamente:
- API Docker esposte
- Cluster Kubernetes mal configurati
- Server Redis aperti
- Sistemi vulnerabili a React2Shell
Una volta dentro, il gruppo si muove lateralmente, raccoglie credenziali di autenticazione e estorce le vittime tramite Telegram.
Il supply chain attack a Trivy
Il 19 marzo, TeamPCP ha effettuato un attacco alla supply chain del noto scanner di vulnerabilità Trivy di Aqua Security, iniettando malware nelle release ufficiali pubblicate come GitHub Actions. Aqua Security ha rimosso i file dannosi, ma secondo la società di sicurezza Wiz nel frattempo gli attaccanti erano riusciti a pubblicare versioni malevole che rubavano chiavi SSH, credenziali cloud, token Kubernetes e wallet di criptovalute dagli utenti.
Nel weekend successivo, la stessa infrastruttura tecnica usata per l’attacco a Trivy è stata riutilizzata per distribuire un nuovo payload: il wiper anti-Iran.
Il wiper geografico
Charlie Eriksen, ricercatore di Aikido, ha analizzato il meccanismo: se il fuso orario del sistema vittima corrisponde all’Iran e la lingua default è Farsi, il wiper attiva la distruzione dei dati. Se ha accesso a un cluster Kubernetes, distrugge i dati su ogni nodo del cluster. Altrimenti, cancella la macchina locale.
Il nome “CanisterWorm” deriva dall’uso da parte di TeamPCP di un canister ICP (Internet Computer Protocol) per orchestrare le campagne: un sistema di smart contract basato su blockchain che combina codice e dati in modo resistente a takedown tradizionali. Questa architettura distribuita rende i canister raggiungibili finché gli operatori pagano i costi di esecuzione — uno degli usi più operativamente intelligenti di infrastrutture Web3 fatti da un gruppo cybercriminale fino ad oggi.
Cosa significa per l’Italia
Il caso è importante per due motivi. Primo, dimostra come gruppi cybercriminali “minori” stiano entrando nel terreno politico-militare tradizionalmente riservato agli APT statali. TeamPCP non è uno state actor ma si comporta come tale nel momento in cui si sceglie un bersaglio geopolitico.
Secondo, la superficie d’attacco che TeamPCP sfrutta — API Docker, cluster Kubernetes, Redis esposti — è esattamente la stessa che molte aziende italiane (soprattutto fintech, SaaS, PMI tech) lasciano mal configurata nei propri ambienti cloud. Il worm non discrimina: se il sistema è raggiungibile e mal configurato, viene compromesso. L’eventuale payload “anti-Iran” non è il problema: il problema è che ogni sistema compromesso diventa parte dell’infrastruttura di TeamPCP per la prossima campagna.
La raccomandazione operativa è banale ma spesso trascurata: audit continuo delle interfacce cloud esposte, disabilitazione di API di management non necessarie, autenticazione su ogni endpoint di controllo, rotazione delle credenziali. Non servono strumenti cyber esotici — basta non dimenticare che il piano di controllo è il vero perimetro da difendere.