‘CanisterWorm’がイランを標的とした破壊的攻撃を展開

金銭目的のデータ窃盗および恐喝グループがイラン情勢に参入しようとしており、不十分に保護されたクラウドサービスを通じて拡散し、イランのタイムゾーンを使用するか、デフォルト言語がペルシャ語に設定されているシステムのデータを消去するワームを放出しています。

セキュリティ専門家によると、イランに対する破壊的攻撃キャンペーンは先週末に実施され、TeamPCPとして知られる比較的新しいサイバー犯罪グループから来たものです。2025年12月、このグループは公開されたDocker API、Kubernetesクラスター、Redisサーバー、およびReact2Shell脆弱性を狙う自己伝播型ワームを使用して、企業クラウド環境の侵害を開始しました。その後、TeamPCPは被害者ネットワーク内での横方向の移動を試み、認証認証情報を流出させ、Telegramを通じて被害者から恐喝しようとしました。

1月に発表されたTeamPCPのプロフィールで、セキュリティ企業Flareは、このグループがエンドポイント悪用ではなく公開されたコントロールプレーンを兵器化し、エンドユーザーデバイスよりもクラウドインフラストラクチャを主に標的にしており、Azure（61%）とAWS（36%）が侵害されたサーバーの97%を占めていると述べました。

「TeamPCPの強みは新しいエクスプロイトやオリジナルマルウェアから来るのではなく、大規模な自動化と周知の攻撃手法の統合から来ています」と、FlareのAssaf Moragは述べています。「このグループは既存の脆弱性、設定ミス、リサイクルされたツールをクラウドネイティブ悪用プラットフォームに産業化し、公開されたインフラストラクチャを自己伝播する犯罪エコシステムに変えています。」

3月19日、TeamPCPはAqua Securityの脆弱性スキャナーTrivyに対するサプライチェーン攻撃を実行し、GitHub Actionsの公式リリースに認証情報盗聴マルウェアを注入しました。Aqua Securityはそれ以降有害なファイルを削除したと述べていますが、セキュリティ企業Wizは、攻撃者がSSHキー、クラウド認証情報、Kubernetesトークン、および暗号通貨ウォレットをユーザーから盗むことができた悪意のあるバージョンを公開することができたと指摘しています。

週末にかけて、Aikidoのセキュリティ研究者Charlie Eriksenは、TeamPCPがTrivy攻撃で使用した同じ技術インフラストラクチャを活用して、ユーザーのタイムゾーンとロケールがイランに対応していると判定された場合に破壊的攻撃を実行する新しい悪意のあるペイロードをデプロイしたと述べました。日曜日に公開されたブログ投稿で、Eriksenは、破壊的コンポーネントが被害者がイランにいてKubernetesクラスターへのアクセス権があることを検出した場合、そのクラスター内のすべてのノード上のデータを破壊すると述べました。

「そうでない場合は、ローカルマシンをワイプするだけです」とEriksenはKrebsOnSecurityに述べました。

Aikidoはコードとデータの両方を組み合わせた改ざん防止でブロックチェーンベースの「スマートコントラクト」のシステムであるInternet Computer Protocol（ICP）キャニスターを使用してキャンペーンをオーケストレーションしているため、TeamPCPのインフラストラクチャを「CanisterWorm」と呼びます。ICPキャニスターは訪問者に直接Webコンテンツを提供でき、その分散アーキテクチャによりテイクダウン試行に耐性があります。これらのキャニスターは、オペレーターがオンラインに保つための仮想通貨料金を支払い続ける限り、到達可能なままです。

Eriksenは、TeamPCPの背後にいる人々がTelegramのグループで彼らの悪用について自慢し、ワームを使用して大規模な多国籍製薬企業を含む主要企業から膨大な量の機密データを盗んだと主張していると述べました。

「彼らがAquaを2回目に侵害したとき、彼らは多くのGitHubアカウントを取得し、ジャンクメッセージをスパムし始めました」とEriksenは述べました。「それはほぼ彼らがどれだけのアクセス権を持っているかを見せびらかしているようなものでした。明らかに、彼らはこれらの認証情報の全体的なストックを持っており、これまでに私たちが見たものはおそらく彼らが持っているものの小さなサンプルです。」

セキュリティ専門家は、スパムされたGitHubメッセージはTeamPCPが彼らのマルウェアで汚染されたコードパッケージがGithub検索で著名なままであることを確認するための方法である可能性があると述べています。本日公開されたGitHubが本当のマルウェア問題を持ち始めているというタイトルのニュースレターで、Risky BusinessレポーターCatalin Cimpanuは、攻撃者はしばしば意味のないコミットをそのレポにプッシュするか、GitHub検索ページの上部に悪意のあるパッケージを保つためにGitHubのスターと「いいね」を販売するオンラインサービスを使用しているのが見られると述べています。

今週末の流行は、わずか数か月のうちにTrivyに関連する2番目の大規模なサプライチェーン攻撃です。2月末、Trivyは、GitHub Actionsで設定ミスされたワークフローを大量に悪用して認証トークンを盗むHackerBot-Clawと呼ばれる自動化された脅威の一部として被害を受けました。

Eriksenは、TeamPCPがAqua Securityへの最初の攻撃で得たアクセスを使用して今週末の悪戯を行ったと思われると述べました。しかし、彼は、TeamPCPの破壊的ツールが実際に被害者システムからデータを破壊することに成功したかどうかを判断する信頼できる方法がなく、悪意のあるペイロードは週末の短い期間だけアクティブであったと述べました。

「彼らは[悪意のあるコード]を上下に取り、急速に変更し、新機能を追加しています」とEriksenは述べました。悪意のあるキャニスターがマルウェアダウンロードを提供していなかった場合、YouTubeのRick Roll動画に訪問者を向けていたことを指摘しました。

「これは少し至る所にあり、このイラン全体のことが単に注目を集めるための彼らの方法である可能性があります」とEriksenは述べました。「私は、これらの人々が本当にここで混沌とした悪役を演じていると感じています。」

Cimpanuは、脅威行為者がどれほど効率的であるかを理解し始めるにつれて、最近サプライチェーン攻撃の頻度が増加していることを観察し、彼の投稿は2024年以来のこれらのインシデントの警告すべき数を記録しています。

「セキュリティ企業はこれを検出するのに良い仕事をしているようですが、GitHub のセキュリティチームにもレベルを上げる必要があります」とCimpanuは述べました。「残念ながら、プロジェクトをコピー（フォーク）し、新しいバージョン（クローン）を作成するために設計されたプラットフォームでは、正当なレポのクローンへの悪意のある追加を検出することはかなりの工学的問題を解決する必要があるかもしれません。」