オーストラリア人男性2人が、世界中の組織を侵害したソフトウェアサプライチェーン攻撃との関連が指摘されるサイバー犯罪グループ、TeamPCPでの役割をめぐり起訴された。
オーストラリア連邦警察（AFP）が男性2人を逮捕したのは8月26日で、西オーストラリア警察およびFBIとの合同捜査の一環だった。
当局によると、攻撃に使われた悪意あるコードによって、50万件を超える認証情報と少なくとも300ギガバイトのデータが窃取された。
私が特に注目しているのは、組織がすでに信頼していたソフトウェアを侵害することで、TeamPCPがこれほど大きな被害をもたらしたとされている点だ。当局は、その結果生じた復旧費用が数億ドルに上ると見積もっている。
TeamPCPはクラウド攻撃からソフトウェアサプライチェーンへと移行した
TeamPCPは2025年後半、外部に露出したクラウドインフラを標的として活動を開始した。Flareの調査によると、同グループは脆弱なサービスをスキャンし、侵害したシステムを使って活動を拡大していた。
2026年初頭までに、標的はより広範なソフトウェアサプライチェーン攻撃へと移行した。
Flareによると、TeamPCPは2月、Aqua Securityの脆弱性スキャナーTrivyに影響する、設定を誤ったGitHub Actionsのワークフローを悪用し、サービスアカウントのトークンを窃取した。
侵入後に認証情報はローテーションされたものの、一部のアクセスは引き続き有効だったとみられる。
そのアクセスが数週間後に重要な意味を持つことになった。3月19日、TeamPCPは認証情報を窃取するコードを含む悪意あるTrivyのリリースをCI/CDパイプラインに投入したとされている。
その後、ビルドパイプラインが汚染されたTrivyソフトウェアを実行したことで、侵害はLiteLLMにも及んだ。
攻撃者はPyPIの公開用トークンを入手し、3月24日にバックドアを仕込んだLiteLLMの2つのバージョンをリリースした。このパッケージは月間およそ9500万回ダウンロードされている。
調査員はオンライン上の活動を通じてTeamPCPを追跡した
TeamPCPは、ソーシャルメディアやTelegramでやり取りしながら、複数の別名を使ってオンライン上で目立った存在感を保っていた。
Flareの調査はDeadCatx3という別名から始まり、オンラインアカウント間のつながりを追跡した。調査員は最終的に、使い回された認証情報とアカウント情報を、同グループに関連する別の身元情報と結び付けた。
プロフィール画像も別の手掛かりとなった。Flareは、SteamアカウントとTeamPCPのTelegramアカウントに同じ特徴的な画像が使われていることを発見した。同社によると、これらの証拠を組み合わせることで、TeamPCPの背後にいる操作者を特定したと高い確信を持って判断できたという。
Flareはその後、調査結果を法執行機関と共有した。
Flareの副社長Nick Ascoli氏はeSecurityPlanetへのメールで、逮捕によってTeamPCPが消滅したことを意味するわけではないと述べた。
「逮捕はTeamPCPにとって大きな打撃だが、グループが消滅したと断定するにはまだ早い」とAscoli氏はeSecurityPlanetに語った。「TeamPCPは緩やかなつながりのグループだったため、今も何人が関与している可能性があるのかは分からない」
オーストラリア当局は、捜査は継続中であり、今後さらに逮捕や起訴を行う可能性も排除されていないと述べた。
盗まれた認証情報は依然として攻撃チェーンの重要な一部である
TeamPCPの活動は、流出した認証情報が依然として使える限り、問題であり続ける理由を示している。
Ascoli氏は、流出してから時間が経過しているというだけで、古い認証情報が無害だと組織は考えるべきではないと述べた。
「犯罪者は認証情報が古いか新しいかを気にしない。今も使えるかどうかを気にする」とAscoli氏は語った。
セキュリティチームは、組織に関連する流出認証情報をあらかじめ特定し、現在も有効かどうかを確認すべきだ。
有効な認証情報はすべてリセットし、公開用トークンは必要なアクセスだけに範囲を限定したうえで、有効期間を短くすべきである。
Trivyの侵害は、認証情報のローテーションを、影響を受けた環境にひも付くすべての認証情報に対して行う必要がある理由も示している。見落とされたトークン1つで、攻撃者にアクセスを継続させるには十分な場合がある。
サプライチェーンのセキュリティは信頼を限定することにかかっている
CI/CDパイプライン内でオープンソースツールを実行している組織にとって、TeamPCPの攻撃は、そうしたツールにどれだけのアクセス権を与えているかを検証する新たな理由となる。
開発チームは、変更可能なタグではなく、完全なコミットSHAにGitHub Actionsを固定することで、リスクを低減できる。
セキュリティチームは、侵害を示している可能性がある、開発ツールからの異常な外向きトラフィックにも注意すべきだ。
TeamPCPの逮捕は、法執行機関と脅威インテリジェンスを共有することの価値も示している。
Ascoli氏によると、サイバー犯罪者はオンライン上の身元やインフラを繰り返し使うことが多く、調査員は時間をまたいで活動を結び付けられるという。
TeamPCPは別名の背後に身を隠そうとした可能性があるが、繰り返された活動によって、調査員には追跡可能なつながりが残された。