TL;DR : L’essentiel
- Une infiltration clandestine menée par Mandiant a permis d’observer de l’intérieur les activités du collectif TeamPCP. L’analyste a accédé aux canaux secrets du groupe et à une base de données contenant plus d’un demi-million d’identifiants dérobés.
- Pour couper court aux tentatives d’extorsion, les experts ont directement alerté des géants comme Amazon Web Services et Microsoft afin de révoquer en urgence les jetons d’accès compromis avant leur utilisation malveillante.
- La traque s’est conclue par l’arrestation de deux membres présumés en Australie. Le principal suspect sauvegardait les identifiants volés sur un compte Google Drive personnel relié à sa véritable adresse électronique.
Une attaque de la chaîne d’approvisionnement d’une ampleur inédite a été infiltrée par Google dès ses débuts pour neutraliser le groupe cybercriminel TeamPCP et protéger ses cibles. Apparu à la fin de l’année 2025, ce collectif a compromis des logiciels libres largement adoptés, comme l’outil de sécurité Trivy ou l’interface d’intelligence artificielle LiteLLM, pour dérober les clés d’accès de développeurs. Cette méthode en cascade a permis aux attaquants de rebondir vers d’autres cibles majeures, parmi lesquelles GitHub, la Commission européenne ou des équipements d’employés d’OpenAI. Pour démultiplier leurs intrusions, les pirates ont notamment déployé un ver informatique baptisé Mini Shai-Hulud, s’emparant ainsi de plus d’un demi-million d’identifiants d’utilisateurs.
Dès le mois de mars, un analyste sous couverture de Mandiant a intégré un groupe de discussion restreint des pirates, baptisé CanisterWorm. Cette présence a permis de découvrir qu’un membre concevait, à l’aide d’une intelligence artificielle, une faille inédite permettant de contourner la double authentification sur un logiciel d’identification courant, corrigée en urgence après le signalement de l’entreprise. Face au volume d’accès dérobés, les spécialistes ont prévenu directement des hébergeurs tels qu’Amazon Web Services et Microsoft pour révoquer ces jetons en masse, plutôt que de contacter individuellement chaque victime. Malgré ce butin, le groupe peinait à monétiser ses extorsions et s’est associé au collectif ShinyHunters, qui l’a rapidement trahi en détournant les rançons, comme l’a révélé une enquête de WIRED.
Cette rupture a poussé TeamPCP à exclure les membres suspects de son serveur, coupant l’accès direct de l’agent infiltré. Les enquêteurs ont néanmoins reconstitué la piste du principal suspect grâce à ses erreurs opérationnelles, reliant son pseudonyme à une ancienne demande de remboursement sur PayPal comportant son nom de domaine familial. Les investigations ont également révélé que les données volées étaient sauvegardées sur un espace Google Drive rattaché à son adresse personnelle, permettant de transmettre un dossier précis au FBI. Deux suspects d’une vingtaine d’années ont finalement été arrêtés et inculpés par la police fédérale australienne.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Pour approfondir le sujet
TeamPCP : le gang qui piège la supply chain logicielle
Le groupe cybercriminel TeamPCP émerge et provoque des vagues d'attaques sans précédent contre la chaîne d'approvisionnement de codes open source mondialement utilisés. Lire la suite
TeamPCP réclame 50'000 dollars pour 3800 dépôts de code GitHub
Après l'installation d'un outil corrompu par un salarié, la chaîne d'approvisionnement logicielle prouve sa dangerosité en exposant le code de GitHub. Lire la suite
Cette veille vous a fait gagner du temps ?
Aidez DCOD à payer ses serveurs et à rester 100% gratuit et indépendant.
