TeamPCPのKubernetesワイパー「CanisterWorm」がイランを標的に

【なぜ重要か】 TeamPCPが既知のCanisterWormキャンペーンと同じC2インフラを使用し、地政学的に標的を絞った破壊的なマルウェアを展開している。日本のKubernetes環境も感染すると永続的なバックドアを設置される危険性がある。

【ポイント】

• システムのタイムゾーンとロケールを確認し、イラン（Asia/Tehran、Iran、fa_IR）の場合は「kamikaze」コンテナでシステム全体を削除・強制再起動
• 非イラン地域のKubernetes環境には特権DaemonSetを全ノードに展開してCanisterWormバックドアをsystemdサービスとして永続化
• 最新版では横展開機能を追加：SSHキー窃取、認証ログ解析、Docker API（ポート2375）の悪用により/24サブネット内に自動拡散
• PostgreSQLツールに偽装した永続化（pglog、pg_state、internal-monitor/pgmonitor）とCloudflareトンネルドメインによるペイロード配信
• 同じICPキャニスタ（tdtqy-oyaaa-aaaae-af2dq-cai）を50分間隔でポーリングしてコマンドを受信する仕組み

【まとめ】 地政学的標的を持つ破壊的マルウェアが供給チェーン規模で活動中。kube-system内の不審なDaemonSetとpglog関連プロセスの監視が急務。