Australie arrête deux membres présumés de TeamPCP, groupe de cybercriminalité

Contexte et portée des attaques

TeamPCP, identifié fin 2025, a mené la plus longue série d’attaques en chaîne d’approvisionnement logicielle. Le groupe a injecté du code malveillant dans des centaines d’outils open‑source, exploitant des identifiants volés sur GitHub ou NPM. En mars 2026, il a compromis LiteLLM, un pont vers plus de 100 modèles de langage, récoltant des clés cloud de plus de 2 500 organisations, dont des géants technologiques.

En mai, TeamPCP a revendiqué la compromission d’au moins 3 800 dépôts sur GitHub, après qu’un développeur a installé une extension infectée. Cette vague a touché des projets variés, démontrant la capacité du groupe à se propager via des dépendances largement utilisées.

Mécanismes d’infection et de recrutement

Le vecteur principal repose sur le ver auto‑propagé Shai‑Hulud. Une fois qu’un compte développeur est phishé, le ver insère du code malveillant dans l’outil en cours de développement, qui se diffuse ensuite aux machines des autres contributeurs. Le groupe a organisé en mai un concours offrant 1 000 XMR (Monero) pour la plus grande opération de chaîne d’approvisionnement, incitant d’autres acteurs à exploiter le même code.

Ce concours fonctionnait comme un filtre de talents : les participants étaient notés selon le nombre de téléchargements de paquets compromis. Dataminr a indiqué que les gains réels dépassaient largement le prix de base, confirmant l’objectif de recrutement à grande échelle.

Enquête, arrestations et implications

L’Australian Federal Police a arrêté deux hommes de 21 et 23 ans en Australie‑occidentale, liés à la « sophisticated cybercrime syndicate ». L’enquête s’appuie sur l’identification du suspect de 21 ans, déjà connu depuis juin, et sur les traces laissées dans le serveur Matrix « Cybercats », où le leader George Prepakis (@kernelstub) coordonnait les échanges.

Les arrestations exposent la structure du groupe : selon le Google Threat Intelligence Group, TeamPCP n’est pas une cellule hiérarchisée mais un réseau de hackers individuels autour d’un centre de gravité. La découverte de liens entre certains administrateurs du serveur et des organisations extrémistes ajoute une dimension juridique supplémentaire, soulignant la difficulté de démanteler des réseaux distribués qui utilisent des plateformes publiques pour leurs opérations.