Vect と TeamPCP が手を組みランサムウェア攻撃を展開

Counter Threat Unit™ (CTU) のリサーチャーが、関連のある 2 つの脅威グループ「Vect」と「TeamPCP」の調査を実施しました。この 2 つのグループは、2026 年 3 月下旬に正式な提携を発表し、TeamPCP の認証情報収集/データ窃取機能と、Vect のランサムウェア展開インフラストラクチャを組み合わせることで、サプライチェーン攻撃や複数組織への恐喝を伴う広範なキャンペーンを展開しています。

Vect の変遷

Vect のサービスとしてのランサムウェア (RaaS) 活動が最初に確認されたのは 2025 年 12 月 31 日のことで、同グループ名義で活動するアカウントが、ロシア語圏の有名なサイバー犯罪フォーラム「Rehub」にアフィリエイト募集の広告を投稿したタイミングでした。Vect は 2026 年 1 月に最初の被害者を出し、その 1 か月後に Vect 2.0 をリリースしました。この新バージョンのリリースはアフィリエイト募集と重なっており、X (旧 Twitter) 上で 2 か月の間に 60 人のアフィリエイトを獲得した Vect は、154 の組織を攻撃し、「数十件が身代金を支払った」と主張しました。

Vect は以前から、活動規模の拡大を目的に他のサイバー犯罪者と手を組む意向を示してきました。3 月、同グループは BreachForums および TeamPCP との提携を発表しました (図 1 参照)。BreachForums の 30 万人以上のメンバー全員が Vect のアフィリエイトキーを受け取ると宣言したものの、実際に Vect に代わってランサムウェア攻撃を開始するメンバーは大幅に減少すると考えられます。TeamPCP (別名 PCPcat、ShellForce、DeadCatx3) は、主に英語圏のサイバー犯罪者からなるグローバルな連合体「The Com」に所属していた個人によって構成されているようです。Vect のデータリークサイトに掲載された 2 つの被害組織には、「LiteLLM/Trivy キャンペーン (TeamPCP)」の被害者として分類されていました。

図 1: BreachForums および TeamPCP との提携を発表する Vect

TeamPCP の変遷

TeamPCP が最初に悪名を馳せたのは 2025 年 12 月、React Server Components に存在する重大な (CVSS スコア 10.0) 認証前のリモートコード実行の脆弱性である React2Shell (CVE-2025-55182) が大量に悪用されたタイミングでした。TeamPCP は、React2Shell の悪用と併せて、公開されている Docker API、Kubernetes クラスター、Ray ダッシュボード、および Redis サーバーを悪用するワーム型キャンペーンを展開しました。このキャンペーンは、カナダ、セルビア、韓国、UAE、および米国の組織 (テクノロジー、金融、医療、政府機関) に影響を及ぼしました。この段階での活動の特徴として、ほぼすべてのネットワーク活動にアウトバウンドポート 666 が使用されていたことが挙げられます。

2026 年 3 月から 5 月にかけて、TeamPCP は一連のサプライチェーン攻撃でニュースの見出しを飾りました。図 2 に同グループによるものとされる攻撃のタイムラインを示します。

図 2: 2026 年 3 月から 5 月にかけての TeamPCP によるサプライチェーン攻撃

最初に標的となったのは、Aqua Security が開発し、世界中の何千もの組織で使用されているオープンソースの脆弱性スキャナー「Trivy」でした。報道によると、攻撃者は 2 月下旬、Trivy の開発システムからログイン認証情報を盗み出すことで足がかりを得ました。Aqua Security は 3 月 1 日にこの侵害を発見し、緩和を試みましたが、クリーンアップが不完全であったため、攻撃者はアクセスし続けることができていました。3 月 19 日、攻撃者は大規模な攻撃を仕掛け、GitHub 上の Trivy スキャナーのコアプログラムとそれに関連する自動化ツールを同時に改ざんし、改ざんされたバージョンのソフトウェアが公式チャネルで公開されるように仕向けました。正規のセキュリティアップデートだと思ってダウンロードした組織は、実際にはマルウェアをインストールしていたことになります。この悪意のあるバージョンは、実行されたシステムからパスワード、クラウド認証情報、その他機密情報を窃取し、その盗んだデータを攻撃者の管理下にあるサーバーに送信していました。また、不審がられないよう、通常のスキャン機能も実行し続けていました。その後、攻撃者は盗んだ認証情報を使用して、CanisterWorm という名前の自己増殖型ワームを起動させ、広く使用されている数十のソフトウェアパッケージに拡散させました。影響を受けたパッケージをインストールした開発者や自動化パイプラインが、意図せずこの拡散に加担することになりました。Trivy チームは数時間以内に悪意のあるコンポーネントを特定して削除しましたが、すでにかなりの数の組織が影響を受けていました。Forbes のインタビューにおいて TeamPCP のメンバーは、攻撃戦略を強化するために AI エージェントを使用していたことを認めました。彼らは、AI エージェントを展開して Aqua Security のサービスアカウントにソーシャルエンジニアリングを仕掛け、GitHub へのアクセス権を取得したと主張しましたが、詳細な情報は明かされませんでした。

Trivy への侵害の 4 日後、TeamPCP は最初の攻撃で盗んだ認証情報を使用して、Checkmarx のリポジトリへのアクセスを取得しました。Checkmarx は、世界で最も広く利用されているアプリケーションセキュリティ企業の一つです。このインシデントは、OpenVSX マーケットプレイスを介して配布されている 2 つのプラグインと、Checkmarx の 2 つの GitHub Actions ワークフロー (ソフトウェア開発パイプライン内で実行される自動化ツール) に影響を及ぼしました。攻撃者は、Checkmarx Keeping Infrastructure as Code Secure (KICS) GitHub Action の全 35 のバージョンタグに悪意のあるコミットをプッシュし、AST GitHub Action のバージョン 2.3.28 を改ざんして、認証情報を窃取するペイロードを注入しました。このペイロードは、サードパーティの研究者によって、Trivy に対して使用されたマルウェアと機能的に同一であると判断されました。盗まれたデータは暗号化され、Checkmarx のインフラストラクチャを模倣した攻撃者制御のドメインに持ち出されました。その主要なチャネルが機能しなかった場合、マルウェアは被害組織の GitHub 認証情報を使用して、その組織の GitHub アカウント内に隠しリポジトリを作成し、そこに盗んだデータをアップロードしました。脆弱性が露見していた期間は比較的短く、悪意のある GitHub Actions ワークフローは 4 時間未満、悪意のある OpenVSX プラグインは約 12 時間のみ公開されていました。しかし、これらのツールが企業の開発環境全体で利用されていることを考えると、わずか数時間であっても重大な被害をもたらすには十分でした。その後、Checkmarx への侵入の一環として、オープンソースのパスワードマネージャーである Bitwarden のコマンドラインインターフェース (CLI) も侵害を受け、数千万人という Bitwarden のユーザー数を考慮すると、潜在的な影響は劇的に増加しました。

3 月 24 日、TeamPCP は Trivy への侵入によって収集されたと思われる PyPI 公開トークンの標的化へと舵を切りました。同グループは、BerriAI の LiteLLM 継続的インテグレーションおよび継続的デリバリー/デプロイメント (CI/CD) パイプラインを汚染し、悪意のあるバージョン (1.82.7 および 1.82.8) を PyPI に公開しました。LiteLLM は、月間約 9,600 万回のダウンロード数を誇る AI ゲートウェイライブラリであり、LLM プロバイダー間でリクエストをルーティングする役割を果たしています。この悪意のあるパッケージには、認証情報収集ペイロードと Kubernetes を対象としたラテラルムーブメントロジックが含まれていました。バージョン 1.82.8 には、パッケージを明示的にインポートしなくても、Python インタプリターの起動時にペイロードを自動的にトリガーするファイルメカニズムが組み込まれていました。これらのパッケージは、隔離されるまで約 3 時間公開されたままでした。

TeamPCP は LiteLLM 攻撃と同様の手口を用いて、3 月 27 日に Telnyx Python SDK の悪意のあるバージョン (4.87.1 および 4.87.2) を PyPI に公開しました。これらのバージョンでは、WAV 音声ステガノグラフィーが新たなペイロード配信メカニズムとして導入されており、Windows と Linux/macOS ごとに異なる実行パスが設定されていました。これは、単一のキャンペーンにおいて配信技術がさらに進化したことを示しています。

TeamPCP は、入手した情報を収益化するために、既存の恐喝グループと提携しました。Lapsus$ グループは Checkmarx を自らのリークサイトに追加し、ソースコード、API キー、データベース認証情報、および従業員の詳細情報を入手したと主張しました。TeamPCP 自身も、これらの侵害をランサムウェアキャンペーンへと連鎖させる計画を公に自慢していました。この脅威は 4 月上旬に現実のものとなり、ある AI スタートアップ企業が、連鎖的な攻撃の影響を受けた数千社のうちの 1 社であることを確認しました。

このキャンペーン期間中、TeamPCP は広く導入されている 4 つのセキュリティおよび AI ツールパッケージを侵害し、48 以上の npm パッケージにワームを拡散させ、1,000 以上のエンタープライズ SaaS (サービスとしてのソフトウェア) 環境に影響を与えました。推定 50 万件の認証情報セットを含む、約 300 GB の圧縮データが外部へ持ち出されました。5 月 9 日、TeamPCP は再び Checkmarx を標的とし、Checkmarx Jenkins AST プラグインの悪意のあるバージョンを公開することでサプライチェーン攻撃を継続しました。この 2 度目の侵入の一環として、TeamPCP はプラグインの GitHub リポジトリを改ざんし、リポジトリ名を変更して、説明文を「Checkmarx fails to rotate secrets again. with love – TeamPCP (Checkmarx は再びシークレットのローテーションに失敗した。愛を込めて – TeamPCP)」としました。

Vect と TeamPCP の提携

TeamPCP と Vect の間の正式な提携により、Vect は Trivy および LiteLLM のサプライチェーン攻撃で侵害されたすべての組織に対してランサムウェアを展開できるようになりました。CTU™ の研究者は、Trivy の侵害直後に TeamPCP が交渉担当者を募集しているのを確認しており、これは同グループが迅速な収益化を見込んでいたことを示唆しています。Vect との提携以前、TeamPCP は CipherForce というブランド名で別のランサムウェア活動を行っていました。CipherForce は 2026 年 2 月に自身のリークサイトに 6 つの被害組織を掲載していましたが、5 月には TeamPCP のリークサイトとしてブランド名を変更しました (図 3 参照)。

図 3: TeamPCP のリークサイト

4 月、Jumpsec は Vect ランサムウェアに重大な実装上の欠陥があることを報告しました。この欠陥により、128KB を超えるファイルは暗号化されず、永久に破壊されます。Vect は X への投稿を通じて問題の存在を否定しましたが、他の研究者も Vect ランサムウェアのバイナリに同様の問題があることを報告しています。TeamPCP は、Vect の暗号化ツールを一度も使用したことはなく、独自の CipherForce ロッカーのみを使用してきたとする声明を発表しました。この声明では、TeamPCP が Lapsus$ とも提携しており、特に Checkmarx のインシデントで協力していたことも確認されました。Lapsus$ のデータリークサイトには、Checkmarx が被害者として掲載されていました。

Vect と TeamPCP の提携は、その運用上の有効性を損なう技術的欠陥を考慮したとしても、ランサムウェアの脅威環境における大きな変化を表しています。大規模サプライチェーンからの認証情報窃取、成熟しつつある RaaS 事業、および地下フォーラムでの大規模な動員が融合したことは、サイバー犯罪への参入障壁を大幅に下げる、前例のない「産業化されたランサムウェア展開」モデルとなっています。TeamPCP は、信頼されているオープンソースツールを繰り返し侵害できる能力を有していることが実証されています。TeamPCP から入手した認証情報を使用した、Vect ランサムウェア展開が少なくとも 1 件確認されており、これはサプライチェーンの侵害からランサムウェアの実行に至るまでのパイプラインが機能していることを意味します。極めて重要な点として、Vect の影響を受けた組織は、身代金を支払えばデータを復元できると考えるべきではありません。サードパーティの研究者によって報告された暗号化の欠陥により、支払いをしても永久に修復不可能なデータ損失を招くだけになる可能性があるからです。

推奨事項と保護機能

開発ワークフローでオープンソースツールを使用している組織は、サプライチェーンの侵害が発表された際に潜在的な影響を迅速に評価し、リスクを軽減するための迅速な対応を可能にするために、ツール一覧を常に最新の状態に保つ必要があります。サードパーティソフトウェアのアップデートが攻撃経路となり得るになるため、組織は環境全体に導入する前にアップデートの完全性を検証する必要があります。

この脅威に関連するソフォスの保護機能は以下の通りです。

• Troj/PyAgent-CA
• JS/Agent-BLZZ
• JS/Steal-EAT
• Linux/Agnt-HZ