Google révèle avoir infiltré TeamPCP, auteur d’attaques en chaîne contre des logiciels libres
Lors de la conférence LABScon, le groupe de renseignement sur les menaces de Google a présenté l’infiltration de TeamPCP, groupe cybercriminel connu pour ses compromissions en cascade de logiciels libres. Selon WIRED, un analyste de Mandiant a siégé dans le cercle restreint du groupe dès mars.
Pour les pros
Pour les professionnels
Le contexte
TeamPCP est un groupe cybercriminel apparu, selon WIRED, fin 2025, qui a compromis à plusieurs reprises des logiciels libres pour dissimuler son code malveillant, puis détourné les identifiants de développeurs pour contaminer d’autres outils, au point de toucher plus d’un millier d’entreprises selon WIRED. Le 18 septembre, un chercheur du groupe de renseignement sur les menaces de Google a détaillé à LABScon l’enquête et l’infiltration par un analyste de Mandiant. Ces éléments sont rapportés par WIRED, d’après des propos de Google.
Ce qui s'est passé, jour après jour
La police fédérale australienne annonce l’arrestation et l’inculpation de deux hommes décrits comme participants principaux de TeamPCP, sans les nommer, avec l’aide du FBI.
Un chercheur du groupe de renseignement sur les menaces de Google présente à LABScon l’enquête sur TeamPCP, d’après WIRED.
Selon WIRED, l’analyste infiltré de Mandiant avait rejoint en mars le cercle restreint du groupe et accédé à un serveur où étaient stockés des identifiants volés.
Selon WIRED, Google a d’abord contacté des fournisseurs (dont Amazon Web Services et Microsoft) pour faire révoquer les identifiants, puis les victimes, par des centaines de notifications.
Qui est concerné
- TeamPCP
- Google Threat Intelligence Group
- Mandiant
- Police fédérale australienne
- FBI
- SentinelOne
À faire, dans l'ordre
Faire tourner les secrets de build et de déploiement (jetons d’accès, clés d’API, mots de passe de dépôt) et supprimer ceux qui ne servent plus.
Fixer les versions des dépendances et des actions de pipeline, et les mettre à jour de façon contrôlée plutôt qu’automatique.
Activer l’authentification multifacteur sur les comptes de dépôt de code et de registre de paquets.
Surveiller les journaux des comptes de développeurs et des pipelines à la recherche d’usages inhabituels de jetons.
Répondre sans attendre à tout message d’un fournisseur ou d’un éditeur signalant des identifiants à révoquer.
En clair
Pour tout le monde
Les logiciels libres que des milliers de développeurs réutilisent peuvent servir de porte d’entrée : si l’un est infecté, les suivants le sont aussi. Un groupe appelé TeamPCP a joué de ce mécanisme et volé des identifiants de développeurs. Le 18 septembre, Google a expliqué qu’un de ses analystes s’était glissé dans le groupe pour l’observer et prévenir les victimes. Si vous développez ou gérez un site, changez régulièrement vos clés d’accès.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun incident touchant la Nouvelle-Calédonie, la Polynésie française ou Wallis-et-Futuna n’est mentionné par WIRED. Le lien est celui de tout développeur ou prestataire web de la région, qui réutilise les mêmes logiciels libres et garde des secrets de développement : conseil d’hygiène générique, faire tourner les clés d’accès et verrouiller les versions des dépendances.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- WIRED, An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Gang
- SecurityWeek, Australia Arrests 2 Alleged TeamPCP Members
Sources (2)
- Relevé parRelevéWIRED, An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Gang (site externe, nouvel onglet)wired.com
- Relevé parRelevéSecurityWeek, Australia Arrests 2 Alleged TeamPCP Members (site externe, nouvel onglet)securityweek.com