Avant que deux de ses membres présumés ne soient arrêtés et inculpés en Australie le mois dernier, le groupe de pirates connu sous le nom de TeamPCP a mené une vague de piratage sans précédent dans l'histoire.

Il a contaminé des centaines de programmes open source avec ses malwares, volé des comptes de développeurs pour perpétuer ce piratage de la chaîne d'approvisionnement logicielle et a même publié un ver auto-propageant sur le thème de Dune pour automatiser le processus, réussissant finalement à compromettre plus d'un millier d'entreprises.

Aujourd'hui, le groupe de threat intelligence de Google a révélé que, lors d'un moment clé de la campagne de TeamPCP, un chercheur infiltré de l'entreprise s'était immiscé dans le groupe, permettant à Google de surveiller la vague de piratage de l'intérieur, d'avertir les cibles de violations et même d'aider à perturber les tentatives du groupe d'exploiter ces victimes.

Lors d'une conférence de la firme de sécurité SentinelOne, le chercheur d'Austin Larsen présentera les détails de l'enquête et de l'infiltration de TeamPCP par l'entreprise au milieu de cette campagne de piratage sans précédent.

Selon Larsen, Google a finalement suivi une piste d'erreurs de sécurité opérationnelle commises par l'un des deux Australiens accusés d'être des membres dirigeants du groupe et a transmis des détails d'identification clés aux forces de l'ordre.

L'entreprise a également reçu des renseignements de ShinyHunters, un autre groupe cybercriminel notoire avec lequel TeamPCP s'était associé, mais qui s'est ensuite retourné contre les pirates de la chaîne d'approvisionnement.

Plus surprenant encore, Larsen affirme que la filiale de sécurité de Google, Mandiant, disposait d'un analyste infiltré au sein du cercle intime du groupe dès le début de la présence de TeamPCP sous les feux de la rampe.

« L'un de nos personæ a travaillé pendant de nombreux mois pour bâtir la confiance avec l'un des acteurs invités à rejoindre TeamPCP, et a ainsi été ajouté au groupe », a déclaré Larsen à WIRED.

« Donc, fondamentalement, dès le premier jour environ, Mandiant observait tout dans les coulisses », a-t-il ajouté.

À la fin du mois dernier, Ruben Ian Thomson et Louis Michael Gaebler, tous deux âgés d'une vingtaine d'années, ont été arrêtés par la police australienne lors d'une enquête conjointe avec l'aide du FBI, inculpés de crimes informatiques et décrits par la police fédérale australienne comme des participants principaux à TeamPCP.

Le groupe de pirates, qui semble être apparu en ligne fin 2025, a fait les gros titres avec une série audacieuse d'attaques en cascade sur la chaîne d'approvisionnement, compromettant à plusieurs reprises des logiciels open source pour y cacher ses logiciels malveillants.

À partir de ce printemps, TeamPCP a compromis le scanner de sécurité open source Trivy, l'outil d'API d'IA LiteLLM, l'infrastructure de Checkmarx, la bibliothèque TanStack et la plateforme d'IA d'entreprise Mistral AI.

Ces attaques répétées ont permis aux pirates d'atteindre le dépôt de code GitHub, la firme de données Mercor, ainsi que des appareils d'employés d'OpenAI, de la Commission européenne et de nombreux autres non divulgués.

Parfois, le groupe a déployé un ver nommé Mini Shai-Hulud, d'après les vers des sables de Dune, pour automatiser ses piratages et toucher un plus grand nombre de victimes.

Larsen affirme qu'en mars, au moment même où TeamPCP commençait ses piratages effrénés, l'analyste infiltré de Google a été invité à rejoindre le cercle intime des pirates.

Cette source interne, dont le nom a été tû, était l'un des douze membres du groupe ayant accès à un chat central nommé CanisterWorm.

L'un des membres de TeamPCP a écrit dans les chats piratés : « Vous devriez comprendre que nous avons réalisé la plus grande chaîne d'approvisionnement peut-être jamais enregistrée dans l'histoire moderne ».

Michael Fletcher, un ancien analyste de l'AFP travaillant désormais dans une firme de télécommunications australienne, indique qu'il a approché Larsen à cette époque pour surveiller les membres du groupe.

Il se souvient que Larsen lui a demandé d'aborder les pirates avec prudence car l'un d'eux était un « allié ».

L'analyste de Google, selon Larsen, a obtenu l'accès à un serveur où TeamPCP stockait son magot d'identifiants volés à ses nombreuses victimes, comprenant des noms d'utilisateur, des mots de passe et des jetons d'accès.

L'équipe de Google a donc décidé d'agir pour avertir les victimes et empêcher le stratagème de rançon de TeamPCP.

Larsen explique : « Ma pensée était : comment pouvons-nous perturber leur campagne aussi vite que possible avant que d'autres compromissions ne se produisent ? Allons perturber ce qu'ils font. C'était mon objectif. »

Plutôt que d'alerter directement les propriétaires des identifiants volés, ce qui aurait pris trop de temps, Google a d'abord contacté des fournisseurs comme Amazon Web Services et Microsoft pour faire révoquer ces identifiants et empêcher les pirates de les exploiter.

Larsen et son équipe ont envoyé des centaines d'e-mails de notification à ces fournisseurs puis aux victimes, dont beaucoup ont répondu immédiatement.

Au même moment, la visibilité de Google sur le chat interne a permis d'apprendre qu'un membre du cercle intime utilisait un outil d'IA pour développer un exploit zero-day dans un logiciel de connexion largement utilisé afin de contourner l'authentification à deux facteurs.

L'équipe de Google a obtenu une copie du code de l'exploit, l'a testé et a constaté qu'avec quelques ajustements, il fonctionnait.

Google a averti le développeur du logiciel, qui a pu corriger la faille de sécurité.

Même avant l'effort de perturbation de Google, le groupe a eu du mal à monétiser son énorme collection de données volées, qui comprenait selon l'AFP plus d'un demi-million d'identifiants d'utilisateurs.

Larsen estime que le groupe n'a récolté que des dizaines de milliers de dollars en paiements d'extorsion, loin des millions amassés par des groupes similaires.

Pour mieux monétiser ses piratages, TeamPCP a invité de multiples autres groupes criminels à s'associer, leur donnant accès aux identifiants volés en échange d'un pourcentage des extorsions.

L'un de ces partenaires était ShinyHunters, un groupe de pirates prolifique qui a extorqué des millions de dollars à des victimes.

Vers avril, quelques semaines après le partenariat, ShinyHunters a fait cavalier seul, menant ses propres extorsions avec les identifiants de TeamPCP sans verser leur part aux pirates de la chaîne d'approvisionnement.

ShinyHunters est allé jusqu'à partager spontanément avec Larsen un journal complet du chat du serveur de TeamPCP, ignorant qu'il y avait déjà accès via la taupe de Google.

TeamPCP a réig en réduisant son cercle intime, en déplaçant ses données vers un nouveau serveur et en exilant ShinyHunters ainsi que d'autres membres du chat CanisterWorm, y compris l'analyste de Google.

Malgré cela, Larsen a pu reconstituer la piste d'indices menant à l'identité de Thomson, l'un des hommes inculpés pour avoir joué un rôle clé.

Larsen a découvert dans une fuite de données du forum BreachForums qu'un des pseudonymes les plus actifs du chat avait été enregistré avec l'adresse Gmail [email protected].

En fouillant d'autres archives de forums, il a trouvé un litige de 2019 entre ce pseudonyme et un vendeur de clés Microsoft Office, où il demandait un remboursement sur un compte PayPal lié à l'e-mail [email protected].

Après que TeamPCP a déplacé ses identifiants vers un serveur hébergé par un autre fournisseur, Google a pu en apprendre le contenu grâce à un « partenaire de confiance » et découvrir qu'il était sauvegardé sur un Google Drive lié au même compte [email protected].

Larsen déclare : « C'est là que nous avons donné le tuyau au FBI. »

Un mois plus tard environ, les forces de l'ordre américaines avaient achevé la procédure juridique pour demander les données de Thomson à Google avec un mandat.

Fin du mois dernier, Thomson a été arrêté par la police australienne.

Larsen a tenu à souligner que l'analyste infiltré de Google n'a jamais participé à aucun piratage illégal ni encouragé les violations du groupe.

« Ils étaient une mouche sur le mur, ne disant que juste ce qu'il fallait pour ne pas être suspects », a affirmé Larsen.

Il a noté que le travail de son équipe pour contrer activement le piratage s'inscrit dans le cadre d'un nouveau virage au sein de Google, notamment avec l'Unité de perturbation cybernétique lancée pour adopter une approche plus agressive contre la cybercriminalité.