TeamPCPによる5日間のカスケード攻撃の全容

TeamPCP（別名：PCPcat、ShellForce、DeadCatx3）は、2025年半ばから活動している金銭目的のサイバー犯罪グループです。彼らが2026年3月に仕掛けた今回のキャンペーンは、「カスケードアーキテクチャ」と呼ばれる手法で特筆されます。これは、ある被害者のCI/CDパイプラインから盗んだ認証情報が、次の標的へのアクセス手段として利用される連鎖構造です。この連鎖は5日間で展開されました。

1日目：Trivy（3月19日）

TeamPCPは、Aqua Securityのインフラストラクチャに、pull_request_targetワークフローの設定ミス（「PwnRequest」脆弱性）を悪用して初期アクセスを獲得しました。彼らは、aqua-botサービスアカウントの新たにローテーションされた個人アクセストークンを傍受し、バージョンタグを悪意のあるコミットに強制プッシュしました。trivy-actionの77タグ中76タグ、およびsetup-trivyの全7タグが乗っ取られました。この最初の侵害は、CVE-2026-33634（CVSS 9.8、クリティカル）として追跡されています。

2日目：KICS（3月23日）

Trivyの被害者から盗んだトークンを使用して、TeamPCPはCheckmarxのcx-plugins-releasesサービスアカウントとして認証し、悪意のあるKICSリリースをプッシュしました。

3日目：LiteLLM（3月24日）

LiteLLMのビルドパイプラインは、侵害されたTrivyスキャナーを自動的にインストールしました。これにより、マルウェアがランナー環境への読み取りアクセスを獲得。TeamPCPはLiteLLMのPyPI公開トークンを盗み、2つの悪意のあるリリース（バージョン1.82.7および1.82.8）をPyPIに公開しました。これらの悪意のあるパッケージが公開されていたのは、発見されるまでのわずか約40分間でした。

ペイロード

LiteLLMのマルウェアは、3段階のペイロードを展開しました。

• 認証情報収集ハーベスター：50種類以上のシークレットを標的に
• Kubernetes横展開ツールキット：ルート権限に昇格し、特権Podを展開
• 持続的なバックドア：リモートコード実行を可能にする

このマルウェアは、.pthファイルインジェクションを使用し、明示的なインポートを必要とせず、すべてのPythonインタプリタ起動時に自動実行されるように仕組まれていました。そのため、検出が極めて困難でした。GoogleによってSANDCLOCKとして追跡されているこのペイロードは、侵害されたランナー上でSSHキー、AWS/GCP/Azure認証情報、Kubernetesサービスアカウントトークン、データベースパスワードなどをかき集めました。

影響を受けた組織

複数の脅威インテリジェンス企業によって特定された被害組織は以下の通りです。

テクノロジー： NVIDIA、AWS、Samsung、Salesforce、Cisco、ServiceNow、Microsoft、HP、NGINX、Zscaler、TomTom
エンタープライズ： Siemens、Volkswagen、FedEx、S&P Global、John Deere、Epic Games、Deloitte、Accenture Federal Services
通信/メディア： Orange、BT Group、SiriusXM/AdsWizz
その他： ロンドン証券取引所グループ、Regeneron Pharmaceuticals、ドイツ鉄道

さらに、欧州委員会も最初のTrivy侵害を介して侵害され、AWS管理認証情報が窃取されました。これにより、約340GBの非圧縮データが盗まれ、42の内部クライアントと29の追加EU機関が影響を受けました。

認証情報露出の規模

窃取されたデータの種類は以下の通りです。

• クラウドIAMキー（AWS、GCP、Azure）
• SSHキーおよびKubernetesシークレット
• データベースパスワード、Salesforceクライアントシークレット
• Slack署名シークレット、環境変数
• AIプロバイダーAPIキー（OpenAI、Anthropic、AWS Bedrock、Google Vertex AI）

FBIは2026年7月2日、FLASH勧告を発令し、このキャンペーンの被害に遭った組織に対し、窃取されたデータと認証情報を持続的リスクとして扱い、関連する攻撃者がそれらを武器化する可能性が高いと警告しました。

ローテーションされていないシークレットによる継続的なリスク

この侵害の深刻さにもかかわらず、リスクはいくつかの理由で収束していません。

アーカイブはまだリークされていない

アーカイブを入手・分析したHudson Rockによると、この153GBのデータセットはまだ広く流通していないとのことです。同社は、データが最終的にリークされる前に組織が鍵をローテーションするための「重要な機会の窓」と呼んでいます。

多くの組織が実際にはローテーションを行っていない

セキュリティ研究者のKevin Beaumont氏は、「すべてローテーション済み」と主張するある組織の認証情報をテストしました。その結果は「ほぼすべてが有効だった」とのことです。

識別不可能な認証情報

ダンプされたファイルの大部分には、データベースパスワード、APIキー、クラウド認証情報が含まれていますが、所有組織を特定するための企業メール、カスタムドメイン、内部サーバー名がありません。これらの組織は、自分たちが影響を受けていることを知る術がありません。

暴露と確認された侵害の違い

2,500以上の組織という数字は、再構築された暴露範囲を示しており、すべての組織について侵害が確認されたわけではありません。CloudSEKは、リストアップされたすべての組織が独立して検証する必要があると強調しています。しかし、データセットはすでに複数の脅威インテリジェンス企業の手に渡っており、侵害の自然なサイクルとして、より広範な流通が予想されます。

組織向けの主要なポイント

以下のような組織は、たとえ明らかな侵害が検出されていなくても、その環境でアクセス可能なすべてのシークレットを侵害されたものとして扱い、直ちにローテーションする必要があります。

• LiteLLMバージョン1.82.7または1.82.8を実行していた
• CI/CDパイプラインがこれらのバージョンを使用していた
• 2026年3月19日から24日までの間に侵害されたTrivyスキャナーを使用していた

FBIのFLASH勧告もこれを補強しています。窃取された認証情報を「持続的リスク」として扱うよう警告しています。

TeamPCPが示したのは、1つの失効していないトークンが、3つのツールを経由して、単一の認証情報漏洩をエコシステム全体の暴露に変え得るということです。LiteLLM攻撃は、最新のソフトウェアサプライチェーンにおいて、脆弱性を発見するために信頼するツール自体が脆弱性になり得るという厳しい教訓を突きつけています。

TeamPCPによる5日間のカスケード攻撃の全容

TeamPCP（別名：PCPcat、ShellForce、DeadCatx3）は、2025年半ばから活動している金銭目的のサイバー犯罪グループです。彼らが2026年3月に仕掛けた今回のキャンペーンは、「カスケードアーキテクチャ」と呼ばれる手法で特筆されます。これは、ある被害者のCI/CDパイプラインから盗んだ認証情報が、次の標的へのアクセス手段として利用される連鎖構造です。この連鎖は5日間で展開されました。

1日目：Trivy（3月19日）

TeamPCPは、Aqua Securityのインフラストラクチャに、pull_request_targetワークフローの設定ミス（「PwnRequest」脆弱性）を悪用して初期アクセスを獲得しました。彼らは、aqua-botサービスアカウントの新たにローテーションされた個人アクセストークンを傍受し、バージョンタグを悪意のあるコミットに強制プッシュしました。trivy-actionの77タグ中76タグ、およびsetup-trivyの全7タグが乗っ取られました。この最初の侵害は、CVE-2026-33634（CVSS 9.8、クリティカル）として追跡されています。

2日目：KICS（3月23日）

Trivyの被害者から盗んだトークンを使用して、TeamPCPはCheckmarxのcx-plugins-releasesサービスアカウントとして認証し、悪意のあるKICSリリースをプッシュしました。

3日目：LiteLLM（3月24日）

LiteLLMのビルドパイプラインは、侵害されたTrivyスキャナーを自動的にインストールしました。これにより、マルウェアがランナー環境への読み取りアクセスを獲得。TeamPCPはLiteLLMのPyPI公開トークンを盗み、2つの悪意のあるリリース（バージョン1.82.7および1.82.8）をPyPIに公開しました。これらの悪意のあるパッケージが公開されていたのは、発見されるまでのわずか約40分間でした。

ペイロード

LiteLLMのマルウェアは、3段階のペイロードを展開しました。

• 認証情報収集ハーベスター：50種類以上のシークレットを標的に
• Kubernetes横展開ツールキット：ルート権限に昇格し、特権Podを展開
• 持続的なバックドア：リモートコード実行を可能にする

このマルウェアは、.pthファイルインジェクションを使用し、明示的なインポートを必要とせず、すべてのPythonインタプリタ起動時に自動実行されるように仕組まれていました。そのため、検出が極めて困難でした。GoogleによってSANDCLOCKとして追跡されているこのペイロードは、侵害されたランナー上でSSHキー、AWS/GCP/Azure認証情報、Kubernetesサービスアカウントトークン、データベースパスワードなどをかき集めました。

影響を受けた組織

複数の脅威インテリジェンス企業によって特定された被害組織は以下の通りです。

テクノロジー： NVIDIA、AWS、Samsung、Salesforce、Cisco、ServiceNow、Microsoft、HP、NGINX、Zscaler、TomTom
エンタープライズ： Siemens、Volkswagen、FedEx、S&P Global、John Deere、Epic Games、Deloitte、Accenture Federal Services
通信/メディア： Orange、BT Group、SiriusXM/AdsWizz
その他： ロンドン証券取引所グループ、Regeneron Pharmaceuticals、ドイツ鉄道

さらに、欧州委員会も最初のTrivy侵害を介して侵害され、AWS管理認証情報が窃取されました。これにより、約340GBの非圧縮データが盗まれ、42の内部クライアントと29の追加EU機関が影響を受けました。

認証情報露出の規模

窃取されたデータの種類は以下の通りです。

• クラウドIAMキー（AWS、GCP、Azure）
• SSHキーおよびKubernetesシークレット
• データベースパスワード、Salesforceクライアントシークレット
• Slack署名シークレット、環境変数
• AIプロバイダーAPIキー（OpenAI、Anthropic、AWS Bedrock、Google Vertex AI）

FBIは2026年7月2日、FLASH勧告を発令し、このキャンペーンの被害に遭った組織に対し、窃取されたデータと認証情報を持続的リスクとして扱い、関連する攻撃者がそれらを武器化する可能性が高いと警告しました。

ローテーションされていないシークレットによる継続的なリスク

この侵害の深刻さにもかかわらず、リスクはいくつかの理由で収束していません。

アーカイブはまだリークされていない

アーカイブを入手・分析したHudson Rockによると、この153GBのデータセットはまだ広く流通していないとのことです。同社は、データが最終的にリークされる前に組織が鍵をローテーションするための「重要な機会の窓」と呼んでいます。

多くの組織が実際にはローテーションを行っていない

セキュリティ研究者のKevin Beaumont氏は、「すべてローテーション済み」と主張するある組織の認証情報をテストしました。その結果は「ほぼすべてが有効だった」とのことです。

識別不可能な認証情報

ダンプされたファイルの大部分には、データベースパスワード、APIキー、クラウド認証情報が含まれていますが、所有組織を特定するための企業メール、カスタムドメイン、内部サーバー名がありません。これらの組織は、自分たちが影響を受けていることを知る術がありません。

暴露と確認された侵害の違い

2,500以上の組織という数字は、再構築された暴露範囲を示しており、すべての組織について侵害が確認されたわけではありません。CloudSEKは、リストアップされたすべての組織が独立して検証する必要があると強調しています。しかし、データセットはすでに複数の脅威インテリジェンス企業の手に渡っており、侵害の自然なサイクルとして、より広範な流通が予想されます。

組織向けの主要なポイント

以下のような組織は、たとえ明らかな侵害が検出されていなくても、その環境でアクセス可能なすべてのシークレットを侵害されたものとして扱い、直ちにローテーションする必要があります。

• LiteLLMバージョン1.82.7または1.82.8を実行していた
• CI/CDパイプラインがこれらのバージョンを使用していた
• 2026年3月19日から24日までの間に侵害されたTrivyスキャナーを使用していた

FBIのFLASH勧告もこれを補強しています。窃取された認証情報を「持続的リスク」として扱うよう警告しています。

TeamPCPが示したのは、1つの失効していないトークンが、3つのツールを経由して、単一の認証情報漏洩をエコシステム全体の暴露に変え得るということです。LiteLLM攻撃は、最新のソフトウェアサプライチェーンにおいて、脆弱性を発見するために信頼するツール自体が脆弱性になり得るという厳しい教訓を突きつけています。