TeamPCP

📰 Source : KrebsOnSecurity | Date : 28 septembre 2026 Les autorités néerlandaises ont arrêté le 16 septembre 2026 Pepijn van der Stap (24 ans), alias Umbreon, originaire d’Almere et Lelystad, soupçonné d’avoir participé aux activités du groupe cybercriminel ShinyHunters. Van der Stap avait déjà été condamné en 2023 pour des vols de données et extorsions ayant rapporté entre 1,5 et 2,7 millions d’euros, et avait été libéré en décembre 2025. Il était employé comme responsable de la sécurité offensive chez Neo Security au moment de son arrestation. ...

🕵️ Contexte Article publié le 18 septembre 2026 par Andy Greenberg sur Wired, à l’occasion d’une présentation d’Austin Larsen (Google Threat Intelligence Group / Mandiant) à la conférence LABScon de SentinelOne. L’article révèle les détails d’une opération d’infiltration menée par Google contre le groupe TeamPCP, dont deux membres australiens ont été arrêtés le mois précédent. 👥 Le groupe TeamPCP TeamPCP est un groupe cybercriminel apparu fin 2025, composé d’environ 12 membres actifs dans un canal interne nommé CanisterWorm. Deux membres présumés, Ruben Ian Thomson et Louis Michael Gaebler, tous deux australiens d’une vingtaine d’années, ont été arrêtés par la police australienne (AFP) en coopération avec le FBI. ...

🔍 Contexte Article publié le 2 avril 2026 (mis à jour le 8 avril) par Alessandro Brucato sur le blog de Tracebit. Il documente la campagne TeamPCP, une série d’attaques supply chain ciblant des outils open source largement utilisés dans les pipelines CI/CD, et présente une approche de détection par canary credentials. 📅 Chronologie de la campagne 19 mars : Compromission de plusieurs GitHub Actions du scanner Trivy (Aqua Security) 22 mars : Utilisation des credentials volés pour compromettre des dizaines de packages npm via un ver auto-propagant nommé CanisterWorm ; publication de versions malveillantes de Trivy sur Docker Hub 23 mars : Compromission des GitHub Actions et extensions OpenVSX du scanner KICS (Checkmarx) avec un malware similaire 24 mars : Compromission du package PyPI LiteLLM (deux versions malveillantes publiées) 27 mars : Compromission du package PyPI Telnyx (deux versions malveillantes publiées) 🦠 Comportement du malware Tous les incidents déploient le “TeamPCP Cloud Stealer”, un malware de collecte massive de credentials : ...

🔍 Contexte Source : Australian Federal Police (AFP), communiqué officiel publié le 27 août 2026. Cette information fait suite à une opération judiciaire conjointe impliquant l’AFP, la Western Australia Police Force (WAPF) et le FBI américain. 👥 Acteurs et arrestations Deux hommes résidant en Australie-Occidentale ont été formellement inculpés. Ils sont présentés comme des membres allégués du groupe cybercriminel TeamPCP, spécialisé dans la création et la distribution de logiciels malveillants open-source à des fins d’intrusion et de vol de données. ...

🗓️ Contexte Article publié le 27 août 2026 par la Flare Emerging Threats Team sur flare.io. Il documente l’investigation ayant conduit à la deanonymisation d’un opérateur du groupe TeamPCP et aux arrestations de deux individus liés à ce groupe. 🎯 Qui est TeamPCP ? TeamPCP est un groupe cybercriminel apparu fin 2025, initialement spécialisé dans l’exploitation opportuniste de services cloud exposés : Scan automatisé d’APIs Docker, plans de contrôle Kubernetes, dashboards Ray, instances Redis Déploiement de conteneurs sur chaque hôte compromis, transformés en nœuds de scan et de proxy Revenus via minage XMRig (Monero), réseau proxy loué, et revente/extorsion de données volées En décembre 2025 : campagne React2Shell contre des applications Next.js, revendiquant plus de 59 000 serveurs compromis en moins de 48 heures 🔗 Pivot vers la supply chain logicielle (2026) En février 2026, TeamPCP exploite un workflow GitHub Actions mal configuré dans Aqua Security Trivy (scanner de vulnérabilités open-source le plus déployé) et vole un token de compte de service. La rotation des credentials est incomplète, laissant un accès résiduel. ...

📰 Source : KrebsOnSecurity — Date : 27 août 2026 🔍 Contexte général La police fédérale australienne (AFP) a arrêté deux hommes de Western Australia, âgés de 21 et 23 ans, identifiés comme membres du groupe cybercriminel TeamPCP. Ce groupe est décrit comme responsable de la plus longue série d’attaques sur la chaîne d’approvisionnement logicielle jamais documentée, active depuis fin 2025. ⚙️ Modus operandi TeamPCP a opéré via un ver auto-propagant baptisé Shai-Hulud, qui injectait du code malveillant dans des outils open source hébergés sur des dépôts publics (GitHub, NPM). Le mécanisme était cyclique : ...

🗓️ Contexte Publié le 12 août 2026 par Hudson Rock sur leur blog, cet article documente ce qui est présenté comme la plus grande attaque de supply chain IA de 2026. L’analyse s’appuie sur des recherches forensiques de Snyk, Trend Micro et Cycode, complétées par l’obtention indépendante par Hudson Rock d’une archive brute de 153 Go. 🎯 Mécanisme de l’attaque L’attaque a été orchestrée par le groupe TeamPCP selon une chaîne de compromission en plusieurs étapes : ...

🔍 Contexte Rapport de threat intelligence publié par ThreatMon Research Team en juillet 2026, analysant en profondeur le groupe TeamPCP, acteur cybercriminel apparu fin 2025 et devenu rapidement un acteur majeur des attaques sur la chaîne d’approvisionnement logicielle open-source. 🧩 Origine et évolution TeamPCP a débuté par l’exploitation opportuniste d’infrastructures cloud exposées (APIs Docker non protégées, plans de contrôle Kubernetes, instances Redis mal configurées), déployant XMRig pour le minage de Monero et utilisant Sliver, FRP et GO Simple Tunnel pour la persistance et le C2. En l’espace de trois mois, le groupe a pivoté vers une stratégie plus scalable centrée sur le vol de credentials via la compromission de la supply chain logicielle. ...

📰 Source : TechNadu (technadu.com), publié le 23 juillet 2026, par Lore Apostol, d’après une déclaration relayée par Dark Web Informer. Contexte Le groupe cybercriminel LAPSUS$ a publié une déclaration sur son domaine lapsus[.]bz annonçant la cessation permanente et définitive de ses opérations, en affirmant avoir pleinement atteint ses objectifs financiers. Le groupe précise qu’il n’y aura plus de communications, de fuites de données, ni d’offres d’accès. Déclaration de dissolution Dans son message, LAPSUS$ présente ce retrait comme un choix délibéré et non comme une réponse à une pression externe : ...

📊 Contexte : GuidePoint Security publie son rapport trimestriel GRIT Q2 2026 (avril–juin 2026), couvrant l’ensemble de l’écosystème ransomware et des menaces cyber sur la période. Il s’appuie sur des données publiques issues des sites de fuite des groupes criminels. 🔢 Chiffres clés du trimestre : 2 279 victimes déclarées publiquement, soit +7% par rapport au Q1 2026 et +43% en glissement annuel 91 groupes distincts actifs, record absolu observé par GRIT 108 pays ciblés (contre 97 au Q1 2026) Les États-Unis représentent 32% des victimes, en baisse historique par rapport aux ~50% habituels 🏆 Groupes les plus actifs : ...