脅威グループ「TeamPCP」、2020年からのRedis攻撃や破壊的なワイパー機能を含む活動の全貌が判明

要点

• セキュリティ企業Oligo Securityの調査で、脅威グループ「TeamPCP」の活動が2020年まで遡ることが判明した。
• 同グループは、AIインフラを狙う「ShadowRay 2.0」など、過去のキャンペーンとインフラや戦術を共有している。
• RedisやDockerなどの脆弱性を突く攻撃から、近年はソフトウェアサプライチェーン攻撃へと進化を遂げている。
• Kubernetes環境を狙うツール「kube.py」の最新版には、イラン国内のシステムを標的とする破壊的なワイパー機能が確認された。

リード文

セキュリティ企業のOligo Securityは2026年8月7日、脅威グループ「TeamPCP」に関する分析結果を公表した。同グループは2020年から活動を開始しており、インターネット公開されたインフラの侵害を重ねた末に、ソフトウェアのサプライチェーン（開発・供給網）への攻撃へ移行したことが判明したという。今回の調査により、過去に個別に観測されていた複数の攻撃キャンペーンが同グループと強固に関連していることが浮き彫りになった。

過去のキャンペーンとTeamPCPの繋がり

Oligo Securityの研究者アヴィ・ルメルスキー氏らによれば、TeamPCPと過去のキャンペーンには、ドメインやマルウェアの展開経路、インフラ、運用戦術で多くの共通点が見つかったという。

特に関連が指摘されるのは、2025年後半に観測された2つのキャンペーンだ。一つは、AI開発用フレームワーク「Ray」などのインフラをボットネット化する「ShadowRay 2.0」（別名「IronErn」）。もう一つは、外部公開されたインメモリデータベース「Redis」を標的に暗号資産マイニングソフトを送り込む「TA-NATALSTATUS」である。

TA-NATALSTATUSは、2020年4月にトレンドマイクロが報告したRedis攻撃キャンペーンの進化形と評価されている。これは同グループがTeamPCPを名乗る前から、Rayや仮想環境を構築する「Docker」、Redis、ウェブ開発の「React」といったインフラを継続的に標的としていたことを示している。

活動の認知とサプライチェーン攻撃への進化

TeamPCPの存在が注目され始めたのは2025年末頃で、当時は「Next.js」（Reactベースの開発フレームワーク）などの脆弱性を悪用して機密データを盗み出す攻撃（作戦名「Operation PCPcat」）との関連が報じられていた。

さらに2026年初頭には、セキュリティ企業Flareのアサフ・モラフ氏が、クラウド環境を狙う大規模キャンペーンを報告した。その目的は、スキャン用インフラを構築してサーバーを侵害し、データ窃取やランサムウェア（身代金要求型マルウェア）の配備、暗号資産マイニングなどを展開することであった。

その後、同グループは開発工程の自動化ツール「GitHub Actions」の悪用などでオープンソースのライブラリを改ざんし、開発者のシステムを大量感染させるサプライチェーン攻撃へと活動を広げた。

Oligo Securityは、ShadowRay 2.0で使用された開発プラットフォーム「GitLab」のアカウントとTeamPCPのインフラに強い重複を確認しており、通信やログの分析から直接的なつながりが立証されたとしている。

進化する兵器と破壊的な「ワイパー」の導入

TeamPCPは、各サービスの既知の脆弱性を悪用し、ワーム（自己拡散能力を持つマルウェア）の手法で感染を広げていた。

使用ツールもアップデートされており、その代表例がコンテナ管理ツール「Kubernetes」環境に侵入後実行されるスクリプト「kube.py」だ。かつては感染拡大などが目的だったが、2026年3月に確認された最新版では、データを強制消去する「ワイパー」と呼ばれる破壊的なコードが追加された。

このコードは、感染システムがイランの時間帯に設定されているかを判別する。該当する場合、全ノードを消去するワイパー「Kamikaze」を実行し、イラン国内の非Kubernetes環境にはファイルシステム全体を消去する処理を行う。イラン国外にはバックドア（遠隔操作用の裏口）「CanisterWorm」を配備するという。

既存エコシステムの継続

Oligo Securityは、これら一連の攻撃が同一グループのリブランドなのか、共通の実行者によるものか、あるいは過去に関連のあったアクター同士の密接な協力によるものかを100％断定することは困難であるとしている。しかし、得られた証拠は、TeamPCPが2025年末に突然現れた新しいグループではなく、過去数年にわたり培われてきた既存のサイバー攻撃エコシステムをそのまま引き継いでいることを明確に示していると結論づけている。