cipherforce

正体と来歴

CipherForce は、TeamPCP（別名 PCPcat、ShellForce、DeadCatx3）と結び付く二重脅迫型のランサムウェア系グループである。Palo Alto Networks Unit 42 は、TeamPCP が少なくとも 2025年9月に遡る活動を行い、2025年12月に React2Shell キャンペーンで注目を集めたと記した [s4]。Halcyon は、TeamPCP が 2025年12月下旬に、設定不備のある Docker API や Kubernetes クラスタを悪用する集団として現れたとし、DeadCatx3、PCPcat、Persy_PCP、ShellForce、CipherForce といったフォーラム上のペルソナを使い分けていると述べた [s5]。Unit 42 によれば、同グループは当初ランサムウェアに注力し、暗号資産のマイニングや窃取にもルーツを持つ [s4]。Red Piranha は、CipherForce を 2026年2月23日ごろから被害者の公開を始めた新顔の二重脅迫グループで、クラウドネイティブな犯罪集団 TeamPCP が運営していると記した。アフィリエイトを募集中で、TeamPCP や Shellforce としての過去の活動と自ら結び付けていたという [s7]。RansomLook の記録でも初出は 2026-02-23 である。

手口

Unit 42 は、2025年12月の React2Shell キャンペーンで CVE-2025-55182 を悪用したリモートコード実行が使われ、ほぼ全ての攻撃でポート 666 が使われた点を特徴的な検知痕跡として挙げた [s4]。2026年3月中旬以降は、スマッシュ・アンド・グラブ型のサプライチェーン侵害へ軸足を移したと Unit 42 は分析している [s4]。

Halcyon によれば、Trivy への初期侵入は 2026年2月27日に、設定不備のある pull_request_target ワークフローを突いて Aqua Security の aqua-bot サービスアカウントの PAT を盗む形で行われた。Aqua が認証情報のローテーションを試みたが不完全で、攻撃者に再侵入の余地が残った [s5]。Unit 42 も、2月下旬の軽微な侵害後の不完全な認証情報ローテーションを突いたと記している [s4]。2026年3月19日には aquasecurity/trivy-action の 77 タグ中 76 と、setup-trivy の全タグに悪意あるコードが強制プッシュされ、この件は CVE-2026-33634 として扱われた [s4][s5]。Halcyon は、Trivy v0.69.4 のバイナリが GitHub Releases、Docker Hub、GHCR、ECR Public、deb/rpm リポジトリにも公開されたと述べた [s5]。

主要ペイロードは「TeamPCP Cloud Stealer」で、kamikaze.sh スクリプトを通じて動作した。v1 は IMDS 経由で AWS/GCP/Azure の認証情報を収集し、/proc/<pid>/mem から runner[.]worker のメモリを直接読んで GitHub のシークレットマスキングを回避した。v2 は 15 行のローダーで第2段階の kube.py を取得し、v3 は自己複製する CanisterWorm へ発展して、公開 Docker API（ポート 2375）とローカルサブネットのスキャン、SSH 鍵の収集を行った [s4]。CanisterWorm は分散型 C2 とワイパー機能を備える [s4]。Halcyon は、収集データが AES-256 と RSA-4096 で暗号化されて送信されたと述べている [s5]。

窃取した認証情報は連鎖的な侵害に使われた。Trivy で得た npm トークンで @emilgroup、@opengov、@v7 の名前空間の 47 パッケージが 60 秒未満で感染した [s4]。3月21日には盗んだ GitHub PAT で Checkmarx KICS の 35 タグすべてが書き換えられ、3月23日には LiteLLM の PyPI バージョン 1.82.7 と 1.82.8 が汚染された。1.82.8 は litellm_init.pth により Python プロセスの起動ごとに実行される [s4][s5]。3月27日には Telnyx の Python SDK が、3 段階の RAT を含む版に置き換えられた [s5]。

暗号化と二重脅迫については、CipherForce のリークサイトに「支払いを拒否した企業がここに公開される。カウントダウンはデータ公開までの時間」という趣旨の文言が掲げられていた [s4]。Unit 42 は、攻撃者が侵害した組織に身代金を要求できる立場にあるとも指摘している [s4]。

使用インフラとして、Unit 42 は C2 に使われた偽装ドメイン scan[.]aquasecurtiy[.]org を挙げ、これが失敗した場合のバックアップとして tdtqy-oyaaa-aaaae-af2dq-cai[.]raw[.]icp0[.]io を使ったと記した [s4]。KICS の波では checkmarx[.]zone が使われ、代替経路として被害組織の GITHUB_TOKEN で組織内に docs-tpcp という非公開リポジトリを作成した [s4]。Halcyon は、Trivy の波のフォールバックとして tpcp-docs という名のリポジトリが作られたと記しており、リポジトリ名は両社で異なる [s4][s5]。Halcyon はさらに 45[.]148[.]10[.]212 と 83[.]142[.]209[.]203 を遮断対象のインジケータとして挙げた [s5]。Unit 42 の Cortex Xpanse は、3 つの波に対応する 3 つの固有の自己署名証明書を 3月27日時点で確認した [s4]。

連絡手段とリークサイト

RansomLook の記録によれば、連絡手段は Telegram と Session である。Telegram のハンドルは hxxps://t[.]me/fbi_open_door_911_Bot、hxxps://t[.]me/+fQrXQuy77Ng2YzBh、hxxps://t[.]me/Persy_PCP、hxxps://t[.]me/team_pcp で、Session ID は 05a04c7c548c39e903c5913973dd55b6f3d9c1a10d346ca9d49d10b9428095823e である。

リークサイト（DLS）は o3ydbkayttkyg4iw2nc732jxmmex25bjeyqyvuuyngnxmpehdefjr3qd[.]onion、ミラーは 22evxpggnkyrxpluewqsrv5j4jtde6hut2peq3w44d6ase676qlkoead[.]onion で、RansomLook の記録ではどちらも停止中である。Red Piranha は、DLS が断続的にオフラインで稼働率が 30 日間で約 14% と不安定だと記した [s7]。Halcyon は、TeamPCP 関連の監視先として hxxps://teampcp[.]cyberdigest[.]international/ も挙げている [s5]。Unit 42 は、TeamPCP が Telegram チャンネルとダークウェブのリークサイトへの投稿を増やしていると述べた [s4]。

標的と主な被害

標的は特定の業種や地域ではなく、開発・CI/CD 基盤そのものである。Unit 42 は、Trivy と KICS が何百万もの企業の CI/CD パイプラインに組み込まれ、LiteLLM は月間ダウンロード数が 9,500 万を超えるとされる点を挙げた [s4]。同社は、vx-underground などが 50万台から 300GB 超のデータと認証情報を窃取したと見ていると記し、TeamPCP が盗んだトークンで追加の 48 パッケージに感染させ、少なくとも 16 組織をリークサイトで公表したと述べた [s4]。Halcyon は 1,000 を超える企業の SaaS 環境が影響を受けたと見られると記している [s5]。出典に日本の組織名や被害時期の記述はない。

動向

Unit 42 によれば、TeamPCP は最近の発表で CipherForce と手を組んで侵害情報を公開するとし、BreachForums でもランサムウェアグループ Vect との提携が告知された [s4]。Halcyon は、Vect が 2026年3月下旬に TeamPCP との同盟を表明し、Trivy と LiteLLM の侵害を受けた全組織へのランサムウェア攻撃を宣言したと述べた。BreachForums の全メンバーに個別のアフィリエイトキーを提供するとも告知されたという [s5]。2026年4月15日には、Vect が不動産管理系テクノロジー企業を最初の被害者として掲載し、約 400 万通のメールと 700GB のデータを窃取したと主張した [s5]。Red Piranha の 2026年2月24日〜3月2日の週次集計では、CipherForce は報告件数の 3.45% を占め、Vect は 9.77% だった [s7]。CipherForce のリークサイトは、3月下旬時点で総被害者 16、カウントダウン進行中 1、公開済み 11 と表示していた [s4]。RansomLook の記録ではリークサイトのミラーとも停止中である。