DevSecOpsのセキュリティがますます重要視される中、クラウドネイティブなサイバー犯罪グループ「TeamPCP」が、サプライチェーンセキュリティ企業CheckmarxのGitHub Actionsワークフローを侵害したことが明らかになりました。この攻撃は、以前Aqua SecurityのTrivyサプライチェーン攻撃でも使用されたものと同一の認証情報窃取マルウェアを利用しており、CI/CD（継続的インテグレーション/継続的デリバリー）環境におけるセキュリティの脆弱性を浮き彫りにしています。
本記事では、TeamPCPによるCheckmarx GitHub Actions侵害の詳細、その攻撃手法、そして企業や開発者が直面するリスクと取るべき具体的な対策について深く掘り下げて解説します。
TeamPCPによるCheckmarx GitHub Actions侵害の詳細
今回の攻撃で標的となったのは、Checkmarxが管理する以下の2つのGitHub Actionsワークフローです。
checkmarx/ast-github-actioncheckmarx/kics-github-action
クラウドセキュリティ企業Sysdigの報告によると、この侵害は2026年3月19日のTrivy攻撃から約4日後に観測されました。これは、Trivy侵害で窃取された認証情報が、さらにCheckmarxのワークフローを攻撃するために悪用された可能性を示唆しています。
窃取される認証情報の種類と攻撃メカニズム
「TeamPCP Cloud stealer」と呼ばれるこのマルウェアは、CI/CD環境から極めて広範な種類の認証情報やシークレットを窃取するように設計されています。具体的には、SSHキー、Git認証情報、Amazon Web Services (AWS)、Google Cloud、Microsoft Azureといった主要なクラウドプロバイダーの認証情報、Kubernetes、Docker、.envファイル、データベース、VPN関連情報、さらには暗号通貨ウォレットのデータ、SlackやDiscordのWebhook URLなどが含まれます。
攻撃者は、悪意のあるペイロード（「setup.sh」）を含むコミットにタグを強制的にプッシュすることで、マルウェアを注入します。窃取されたデータは暗号化されたアーカイブ（「tpcp.tar.gz」）として、「checkmarx[.]zone」というドメイン（IPアドレス: 83.142.209[.]11:443）に送信されます。このドメインは、ベンダー固有のタイポスクワットドメインであり、正規のCheckmarxドメインに見せかけることで、CI/CDログを監視するアナリストの目を欺く巧妙な手口が使われています。
さらに、データのエクスフィルトレーション（外部への持ち出し）が失敗した場合に備え、攻撃者は被害者のGITHUB_TOKENを利用して「docs-tpcp」というリポジトリを作成し、窃取データをバックアップとしてステージングする機能も備えています。これは、Trivy事件で「tpcp-docs」というリポジトリが使用されたのと同様の手法です。
連鎖するサプライチェーン攻撃の脅威とDevSecOpsの課題
この攻撃の最も深刻な側面は、サプライチェーン攻撃が連鎖する可能性を秘めている点にあります。マルウェアの主な機能は、CIランナーのメモリから認証情報を収集することであり、これによりGitHubの個人アクセストークン（PATs）やその他のシークレットが抽出されます。
もしこれらのトークンが、Checkmarxのアクションも使用している他のリポジトリへの書き込みアクセス権を持っていた場合、攻撃者はそれらのトークンを悪用して悪意のあるコードをプッシュすることが可能になります。これは、一つの侵害されたアクションがシークレットを奪取し、それがさらに別のアクションの侵害を容易にするという、まさに「カスケード型サプライチェーン攻撃」のシナリオを生み出します。
既存のセキュリティ対策が機能しなかった理由
Sysdigの分析によると、今回のケースでは「コードレビューや依存関係スキャンが機能しなかった」と指摘されています。これは、悪意のあるコードが「信頼されたアクションのソース」に直接注入されたためです。通常、開発プロセスで実施されるセキュリティチェックは、外部からの未知の脅威や、依存関係の脆弱性を検出することを目的としていますが、信頼されたコンポーネント自体が改ざんされた場合、これらのチェックをすり抜けてしまうリスクがあることを示しています。
Open VSX拡張機能への影響とマルウェアの永続化
Wizの調査により、今回の攻撃は「cx-plugins-releases」サービスアカウントの侵害を通じて実行された可能性が高いと報じられています。攻撃者は、Open VSX拡張機能である「ast-results」（バージョン2.53.0）と「cx-dev-assist」（バージョン1.7.0）のトロイの木馬化されたバージョンも公開しました。ただし、VS Code Marketplaceで提供されているバージョンは影響を受けていません。
この悪意のある拡張機能がアクティブ化されると、被害者のシステムにGitHub、AWS、Google Cloud、Microsoft Azureなどのクラウドサービスプロバイダーの認証情報が存在するかどうかをチェックします。認証情報が検出された場合、マルウェアは「checkmarx[.]zone」から次段階のペイロードをフェッチし、npx、bunx、pnpx、またはyarn dlxといった主要なJavaScriptパッケージマネージャーを介して実行を試みます。
非CIシステムにおいては、マルウェアはsystemdユーザーサービスを介して永続化メカニズムを確立します。この永続化スクリプトは、50分ごとに「https://checkmarx[.]zone/raw」をポーリングして追加のペイロードをチェックします。興味深いことに、応答に「youtube」が含まれている場合は実行を中止するというキルスイッチが組み込まれており、現在このリンクはQueenの「The Show Must Go On」にリダイレクトされるとのことです。
Trivy攻撃との関連性とTeamPCPの攻撃手法の進化
今回のCheckmarxへの攻撃は、ペイロード、暗号化スキーム、ファイル命名規則（tpcp.tar.gz）がTrivy攻撃と同一であることから、TeamPCPによる犯行であることが確認されています。これは、TeamPCPが初期のTrivy侵害を超えて、その攻撃範囲を拡大していることを明確に示しています。
Trivy攻撃の初期段階では、TeamPCPは悪意のあるTrivyのDockerイメージをプッシュし、Aqua Securityの「aquasec-com」GitHub組織を乗っ取って、数十もの内部リポジトリを改ざんしました。さらに、彼らはKubernetesクラスターを標的とし、イランのタイムゾーンとロケールを検出すると全マシンをワイプする悪意のあるシェルスクリプトを使用するなど、その攻撃手法をエスカレートさせていることが観測されています。
この一連の攻撃は、TeamPCPが単なる認証情報窃取にとどまらず、サプライチェーン全体を掌握し、破壊的な行為に及ぶ能力を持っていることを示唆しており、その脅威レベルは非常に高いと言えるでしょう。
緊急対策：CI/CD環境を守るための具体的なステップ
このような高度なサプライチェーン攻撃からシステムを保護するためには、迅速かつ包括的な対策が不可欠です。以下に、ユーザーが直ちに実行すべき推奨事項をまとめます。
認証情報とアクセスの厳格な管理
- シークレット、トークン、クラウド認証情報のローテーション: 影響を受けた期間中にCIランナーがアクセスできた全ての認証情報を直ちに無効化し、新しいものに更新してください。
- GitHub Actionsのピン留め: GitHub Actionsを使用する際は、バージョンタグではなく、フルコミットSHAにピン留めすることを強く推奨します。これにより、タグが強制的にプッシュされて悪意のあるコードが注入されるリスクを排除できます。
- IMDSv2の利用: CIランナーコンテナからのInstance Metadata Service (IMDS) へのアクセスを制限するために、IMDSv2を使用してください。これにより、認証情報窃取のリスクを低減できます。
監視と監査の強化
- GitHub Actionsワークフローログの監査: CIランナーのログを詳細に監査し、「tpcp.tar.gz」、「scan.aquasecurity[.]org」、「checkmarx[.]zone」といった疑わしいファイル名やドメインへの参照がないか確認してください。
- 疑わしいリポジトリの検索: GitHub組織内で「tpcp-docs」または「docs-tpcp」という名前のリポジトリが存在しないか検索してください。これらは、データのエクスフィルトレーションが成功したことを示す可能性があります。
- アウトバウンドネットワーク接続の監視: CIランナーからのアウトバウンドネットワーク接続を継続的に監視し、疑わしいドメインへの通信を早期に検出できる体制を構築してください。
DevSecOpsプラクティスの見直し
今回の事件は、DevSecOpsにおけるセキュリティ対策が、単なるコードスキャンや脆弱性管理にとどまらず、サプライチェーン全体の信頼性を確保することにまで及ぶべきであることを示しています。特に、サードパーティ製のアクションや拡張機能の利用には細心の注意を払い、その信頼性を常に検証するプロセスを組み込む必要があります。
こんな人におすすめの対策
今回の攻撃は、CI/CDパイプラインを利用しているすべての開発者、DevOpsエンジニア、セキュリティ担当者にとって他人事ではありません。特に、GitHub Actionsや類似のCI/CDツールを使用している企業、クラウド環境で機密データを扱っている組織、そしてサプライチェーン攻撃のリスクを低減したいと考えている方々は、上記の対策を速やかに実施し、自社のセキュリティ体制を見直すことを強くお勧めします。
まとめ：DevSecOpsにおけるセキュリティ強化の重要性
TeamPCPによるCheckmarx GitHub Actionsの侵害は、現代のソフトウェア開発においてサプライチェーン攻撃がいかに巧妙化し、広範囲に影響を及ぼすかを示す深刻な事例です。CI/CDパイプラインは開発効率を大幅に向上させる一方で、一度侵害されると、その影響は連鎖的に広がり、企業の根幹を揺るがす事態に発展する可能性があります。
この事件から得られる教訓は、DevSecOpsの実践において、単一のセキュリティツールやプロセスに依存するのではなく、多層的な防御と継続的な監視、そして迅速な対応能力が不可欠であるということです。認証情報の厳格な管理、コードの信頼性検証、そして異常な挙動の早期検出は、今後ますます複雑化するサイバー脅威からシステムを守るための鍵となるでしょう。