Google infiltre TeamPCP, groupe responsable de la pire campagne de supply-chain hacking

🕵️ Contexte

Article publié le 18 septembre 2026 par Andy Greenberg sur Wired, à l’occasion d’une présentation d’Austin Larsen (Google Threat Intelligence Group / Mandiant) à la conférence LABScon de SentinelOne. L’article révèle les détails d’une opération d’infiltration menée par Google contre le groupe TeamPCP, dont deux membres australiens ont été arrêtés le mois précédent.

👥 Le groupe TeamPCP

TeamPCP est un groupe cybercriminel apparu fin 2025, composé d’environ 12 membres actifs dans un canal interne nommé CanisterWorm. Deux membres présumés, Ruben Ian Thomson et Louis Michael Gaebler, tous deux australiens d’une vingtaine d’années, ont été arrêtés par la police australienne (AFP) en coopération avec le FBI.

Le groupe est accusé d’avoir :

• Compromis des outils open-source (Trivy, LiteLLM, TanStack, infrastructure Checkmarx, plateforme Mistral AI)
• Volé des comptes développeurs pour propager son code malveillant
• Breché GitHub, Mercor, et des appareils d’employés d’OpenAI et de la Commission européenne
• Collecté plus de 500 000 identifiants d’utilisateurs
• Déployé un ver auto-propageable nommé Mini Shai-Hulud pour automatiser les compromissions

🔍 L’infiltration par Google/Mandiant

Dès mars, un analyste undercover de Mandiant (filiale de Google) a été invité à rejoindre le cercle interne de TeamPCP via CanisterWorm. Cet analyste a eu accès au serveur de stockage des identifiants volés. Google a alors :

• Contacté AWS et Microsoft pour révoquer les credentials compromis
• Envoyé des centaines de notifications aux victimes
• Obtenu une copie d’un exploit zero-day développé par IA ciblant un logiciel d’authentification à deux facteurs, testé et transmis au développeur pour patch

🐍 La trahison de ShinyHunters

TeamPCP avait associé plusieurs groupes criminels, dont ShinyHunters, pour monétiser ses données volées. En avril, ShinyHunters a trahi TeamPCP en menant ses propres extorsions sans reverser la part convenue, puis a transmis à Larsen les logs complets du chat interne de TeamPCP — ignorant que Google y avait déjà accès. Suite à cela, TeamPCP a expulsé ShinyHunters et l’analyste infiltré de CanisterWorm.

🧩 Identification et arrestation

Austin Larsen a retracé l’identité de Thomson via :

• Une fuite de données BreachForums liant un pseudonyme actif à l’adresse rubenthomson96@gmail.com
• Des archives de forums montrant ce pseudonyme lié à un compte PayPal associé à rubenthomson@gmail.com
• La découverte que le nouveau serveur de TeamPCP était sauvegardé sur un Google Drive lié à ce même compte Gmail

Ce dernier élément a conduit Google à transmettre l’information au FBI, qui a obtenu un mandat et déclenché l’arrestation par l’AFP.

📌 Nature de l’article

Article de presse spécialisée à visée de post-mortem opérationnel, documentant les méthodes d’infiltration, de disruption et d’attribution utilisées par Google GTIG/Mandiant contre TeamPCP, dans le cadre de la nouvelle Cyber Disruption Unit de Google.

🧠 TTPs et IOCs détectés

Acteurs de menace

• TeamPCP (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK
• ShinyHunters (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK

TTP

• T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1586.002 — Compromise Accounts: Email Accounts (Resource Development)
• T1543 — Create or Modify System Process (Persistence)
• T1588.005 — Obtain Capabilities: Exploits (Resource Development)
• T1566 — Phishing (Initial Access)
• T1657 — Financial Theft (Impact)
• T1496 — Resource Hijacking (Impact)
• T1567.002 — Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration)

IOC

• Emails : rubenthomson96@gmail.com
• Emails : rubenthomson@gmail.com

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Mini Shai-Hulud (other)
• Shai-Hulud (other)

🟢 Indice de vérification factuelle : 71/100 (haute)

• ✅ wired.com — source reconnue (liste interne) (20pts)
• ✅ 12461 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 9 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : TeamPCP, ShinyHunters (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.wired.com/story/an-undercover-google-analyst-infiltrated-a-notorious-supply-chain-hacking-gang/