https://cyberveille.ch/tags/deanonymisation/ Recent content in Deanonymisation on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 29 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-29-demantelement-de-teampcp-attaques-supply-chain-via-trivy-et-litellm-deanonymisation-d-un-operateur/ Sat, 29 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-29-demantelement-de-teampcp-attaques-supply-chain-via-trivy-et-litellm-deanonymisation-d-un-operateur/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Article publié le 27 août 2026 par la Flare Emerging Threats Team sur flare.io. Il documente l&rsquo;investigation ayant conduit à la deanonymisation d&rsquo;un opérateur du groupe <strong>TeamPCP</strong> et aux arrestations de deux individus liés à ce groupe.</p> <h2 id="-qui-est-teampcp-">🎯 Qui est TeamPCP ?</h2> <p><strong>TeamPCP</strong> est un groupe cybercriminel apparu fin 2025, initialement spécialisé dans l&rsquo;exploitation opportuniste de services cloud exposés :</p> <ul> <li>Scan automatisé d&rsquo;<strong>APIs Docker</strong>, <strong>plans de contrôle Kubernetes</strong>, <strong>dashboards Ray</strong>, <strong>instances Redis</strong></li> <li>Déploiement de conteneurs sur chaque hôte compromis, transformés en nœuds de scan et de proxy</li> <li>Revenus via <strong>minage XMRig (Monero)</strong>, réseau proxy loué, et revente/extorsion de données volées</li> <li>En décembre 2025 : campagne <strong>React2Shell</strong> contre des applications Next.js, revendiquant plus de <strong>59 000 serveurs compromis en moins de 48 heures</strong></li> </ul> <h2 id="-pivot-vers-la-supply-chain-logicielle-2026">🔗 Pivot vers la supply chain logicielle (2026)</h2> <p>En <strong>février 2026</strong>, TeamPCP exploite un <strong>workflow GitHub Actions mal configuré</strong> dans <strong>Aqua Security Trivy</strong> (scanner de vulnérabilités open-source le plus déployé) et vole un token de compte de service. La rotation des credentials est incomplète, laissant un accès résiduel.</p>