Arrestation en Australie du cœur de TeamPCP : des milliers d’entreprises touchées via l’open source

Le 27 août 2026, la police fédérale australienne a annoncé l’arrestation de deux hommes de 21 et 23 ans en Australie-Occidentale. Ils seraient membres d’un « syndicat cybercriminel sophistiqué » ayant créé des outils open source malveillants pour dérober des milliers d’entreprises à l’échelle mondiale. Leurs noms n’ont pas été divulgués, mais des sources proches de l’enquête indiquent que l’un d’eux est l’utilisateur connu sous le pseudo @pcpcasper, actif sur le chat Matrix « Cybercats » et associé à TeamPCP. L’autre serait le porte-parole autoproclamé du groupe, identifié comme T ou @pcpcats.

TeamPCP a émergé fin 2025 comme une agrégation d’acteurs issus de plusieurs groupes criminels. Ce n’est pas une bande hiérarchique, mais une communauté de pairs avec un « centre de gravité clair », selon Austin Larsen, analyste principal des menaces chez Google Threat Intelligence Group. Le centre de gravité est George Prepakis, chercheur en sécurité et développeur d’exploits avec le profil X @kernelstub. Prepakis a créé le serveur Matrix « Cybercats » et l’a promu avec un lien d’invitation public. Pendant des mois, TeamPCP et d’autres entités criminelles l’ont utilisé quotidiennement.

Shai-Hulud : le ver qui se propage parmi les développeurs

Le groupe a compromis des environnements cloud d’entreprise avec un ver auto-propageant appelé Shai-Hulud. Le malware ajoutait du code malveillant à des programmes open source maintenus par des développeurs dont les identifiants sur des dépôts publics comme GitHub ou NPM avaient été volés ou obtenus par hameçonnage. Le cycle était simple : accès à un réseau de développeurs, insertion du malware dans l’outil open source, propagation sur les machines d’autres développeurs, vol de nouveaux identifiants pour publier des versions malveillantes d’autres paquets. La collecte de réseaux compromis croissait à chaque itération.

En mai 2026, le code source de la troisième itération de Shai-Hulud a été publié en ligne. Peu après, TeamPCP a lancé un concours avec un prix de 1 000 dollars en Monero pour celui qui mènerait l’opération de chaîne d’approvisionnement la plus étendue en utilisant ce code. Les participants étaient évalués selon le nombre de téléchargements hebdomadaires et mensuels des paquets compromis. Objectif affiché : recruter des talents et acheter des accès significatifs. Le prix était défini comme un « plancher de recrutement » et « seulement un trophée de participation ». L’annonce a été diffusée sur Telegram.

LiteLLM et GitHub : les deux attaques les plus graves

En mars 2026, TeamPCP a mené une attaque de chaîne d’approvisionnement contre LiteLLM, une passerelle d’IA open source qui connecte les utilisateurs à plus de 100 grands modèles de langage. Selon CloudSEK, l’attaque a permis de collecter des clés de services cloud et d’autres secrets auprès de plus de 2 500 organisations, dont de nombreuses grandes entreprises technologiques mondiales.

En mai 2026, le groupe a revendiqué la compromission d’au moins 3 800 dépôts de code sur GitHub, propriété de Microsoft, après qu’un développeur de la plateforme a installé une extension de code compromise. Des centaines d’outils open source ont été distribués en version malveillante. L’AFP parle de milliers d’entreprises dérobées à l’échelle mondiale.

Outre les attaques de chaîne d’approvisionnement, les membres du groupe ont vendu des données volées. L’administrateur « Boxturtle », actif sur X sous le pseudo @xpl0itrsturtle, est courtier en violations sur Breachforums et Darkforums et a vendu des données de BMW Group, Audi, Honda, Mercedes-Benz, Volvo, Toyota, Snapchat et SportRadar. L’alias « SeesawSec » est associé au groupe Fulcrumsec, qui a revendiqué des attaques d’extorsion de données contre Novo Nordisk, LexisNexis et Avnet. L’alias « Express » a annoncé sur Breachforums le 30 juillet 2025 la vente d’un accès à 14 gigaoctets de données de la State Information Technology Agency sud-africaine.

Cybercats et la communauté d’acteurs

Les experts décrivent TeamPCP non pas comme une bande structurée, mais comme une agrégation d’acteurs individuellement qualifiés qui collaborent parfois. Le chat Matrix « Cybercats » était le centre opérationnel. Les administrateurs principaux étaient Boxturtle, SeesawSec, @pcpcasper et T (@pcpcats).

@pcpcasper utilisait le même nom sur X pour commenter les attaques et les victimes du groupe. Son historique Telegram montre une appartenance déclarée à la National Socialist Network, organisation politique néonazie basée en Australie. Dans les chats, il partageait des vidéos et des images de son chat ; plusieurs vidéos le situent en Australie-Occidentale. Une source proche de l’enquête a indiqué à KrebsOnSecurity que @pcpcasper est l’un des deux hommes arrêtés. Cette circonstance est étayée par des messages publiés en ligne par @kernelstub le matin du 27 août 2026.

T, abréviation du profil X @pcpcats, était le porte-parole autoproclamé de TeamPCP et vient également d’Australie-Occidentale. Lorsque @kernelstub a tweeté l’invitation au serveur Matrix, T ne postait que rarement. Les autres membres attribuaient ses absences prolongées à l’usage d’hallucinogènes et d’autres substances.

Les erreurs qui ont mené à l’identification

L’utilisateur @pcpcats a utilisé plusieurs pseudonymes sur les forums criminels : EllisD25/LSD sur Darkforums, BulkDMT sur Breachstars et Express sur Breachforums. Les comptes sont liés car ils annonçaient le même Tox ID et/ou Session ID. BulkDMT était également connu sous le nom de DMT Host, un service de serveur privé virtuel vendu sur Darkforums et Breachstars. Express s’est inscrit sur Breachforums avec l’e-mail [email protected] et a posté pendant deux mois en 2025 en utilisant quatre adresses IP localisées en Afrique du Sud.

Flashpoint a enregistré plus d’un an de messages Telegram de l’alter ego Persy_PCP, qui déclarait partager sa vie entre deux pays. En novembre 2025, il a écrit : « Tout mon pays est raciste et veut des gens comme moi morts. » BulkDMT a partagé en septembre 2025 un commentaire sur les agriculteurs en Afrique du Sud. Cyberscoop a rapporté en juin 2026 que Google avait relié les connexions de TeamPCP à l’Afrique du Sud.

SpyCloud a découvert que l’e-mail [email protected] figure dans l’enregistrement du compte ChristmasSnow sur la communauté Raidforums en 2022. Presque toutes les adresses IP utilisées pour accéder à ce compte provenaient de FAI de Perth, en Australie. KrebsOnSecurity a analysé les IP de Perth dans les enregistrements DNS passifs de DomainTools et a identifié l’adresse 211.27.196.111, utilisée pendant plusieurs années comme serveur de fichiers privé par une famille de Perth nommée Thomson. À la même adresse, des hôtes Synology et QNAP étaient actifs entre 2022 et 2025. Une recherche de « joshuathomson39 » sur Constella Intelligence a montré un compte auprès de la société d’expédition kwe.com au nom de Joshua Thomson de Perth. La plateforme Epieos a relié le numéro de téléphone à un profil Facebook de Josh Thomson, qui indique une famille originaire de Pietermaritzburg, en Afrique du Sud, résidant à Cottesloe, une banlieue côtière de Perth.

Ce que les entreprises peuvent faire

Aucun détail n’a été diffusé sur des CVE spécifiques ou des ajouts au catalogue KEV de la CISA, car l’opération concerne un groupe criminel dans son ensemble, et non une faille unique. Toutefois, les organisations touchées ou potentiellement exposées devraient adopter des mesures standard de défense de la chaîne d’approvisionnement logicielle :

• Vérifier l’intégrité des paquets open source avant l’installation, en comparant les hachages et les signatures avec les dépôts officiels.
• Protéger les identifiants des développeurs avec une authentification multifacteur et des privilèges minimaux.
• Surveiller les dépendances et les pipelines de build pour détecter les modifications non autorisées.
• Contrôler les accès aux dépôts et aux services cloud, en recherchant des clés exposées ou des mouvements latéraux.
• Inspecter les journaux à la recherche d’activités anormales liées aux IP ou aux domaines mentionnés dans l’enquête.

Les versions exactes des produits compromis n’ont pas été divulguées, mais toute personne utilisant LiteLLM ou maintenant des dépôts sur GitHub devrait revoir l’historique des commits et les clés de service.

L’arrestation des deux membres présumés ne garantit pas la fin de TeamPCP. La structure communautaire et la disponibilité du code de Shai-Hulud laissent ouverts des risques de nouvelles campagnes. Les enquêtes de la police fédérale australienne et de ses partenaires internationaux se poursuivent.