Une spécialiste de Mandiant, filiale de Google, s’est glissée dans le cercle restreint de TeamPCP au moment où ce groupe multipliait les attaques contre des logiciels libres. Cette infiltration a permis de suivre les pirates en temps réel, de faire désactiver des accès volés et de contribuer à l’identification d’un suspect.
L’opération illustre une évolution importante de la cybersécurité : Google ne s’est pas contenté d’analyser les attaques après coup, mais a cherché à perturber directement leur déroulement.
Une analyste admise parmi une douzaine de membres
TeamPCP serait apparu sur Internet à la fin de 2025. En mars 2026, alors que ses attaques prenaient de l’ampleur, une identité utilisée par Mandiant depuis plusieurs mois avait déjà gagné la confiance d’un individu proche du groupe.
L’analyste infiltrée a ainsi rejoint CanisterWorm, une conversation réservée à environ douze membres du noyau de TeamPCP. Sa mission consistait à observer les échanges sans participer aux piratages ni encourager leurs auteurs.
Depuis cet espace privé, Google pouvait suivre une campagne qui aurait touché plus de 1 000 entreprises. Les pirates compromettaient des logiciels libres afin d’y introduire du code malveillant, puis récupéraient les identifiants de développeurs pour contaminer d’autres outils. Ce mécanisme transformait chaque intrusion réussie en point de départ d’une nouvelle attaque.
Des logiciels libres utilisés comme chevaux de Troie
TeamPCP aurait altéré des centaines de programmes open source. Parmi les projets et infrastructures visés figuraient notamment Trivy, LiteLLM, Checkmarx, TanStack et Mistral AI.
Cette succession de compromissions aurait permis d’atteindre GitHub, Mercor ainsi que des appareils professionnels appartenant à des salariés d’OpenAI et de la Commission européenne. Pour étendre encore la campagne, le groupe a aussi utilisé Mini Shai-Hulud, un ver capable de se propager automatiquement et dont le nom évoque les créatures de l’univers de Dune.
La taupe a notamment eu accès à un serveur contenant des identifiants, mots de passe et jetons d’accès dérobés. Plutôt que de contacter séparément chaque entreprise, une démarche jugée trop lente, Google a prévenu en priorité les fournisseurs auprès desquels ces accès pouvaient être employés.
- Des services comme Amazon Web Services et Microsoft ont été alertés.
- Des centaines de notifications ont été envoyées aux fournisseurs puis aux victimes.
- Les accès compromis pouvaient ainsi être révoqués avant leur exploitation.
Une faille inconnue conçue avec l’aide d’une IA
Les échanges internes ont également révélé qu’un membre du groupe travaillait sur une vulnérabilité jusque-là inconnue dans un logiciel d’authentification très utilisé. L’objectif était de contourner la double authentification.
Le code de cette faille dite « zero-day » avait été développé avec l’aide d’un outil d’intelligence artificielle. Les équipes de Google en ont obtenu une copie et ont confirmé qu’il pouvait fonctionner après quelques ajustements. L’éditeur concerné a alors été averti et a pu corriger la vulnérabilité avant son exploitation massive.
Cette découverte constitue un cas notable d’utilisation concrète de l’IA pour mettre au point une technique offensive visant une faiblesse encore inconnue. Elle montre aussi pourquoi l’accès aux discussions du groupe avait une valeur bien supérieure à une simple surveillance extérieure.
Une adresse personnelle mène jusqu’à un suspect
L’infiltration a pris fin lorsque TeamPCP, confronté à des trahisons internes, a resserré son cercle et exclu plusieurs personnes. Le groupe ShinyHunters, pourtant associé à ses opérations, avait notamment utilisé les identifiants volés pour conduire ses propres extorsions sans partager les gains. Il avait aussi transmis à Google une copie complète des conversations internes, sans savoir qu’une analyste y avait déjà accès.
L’enquête s’est poursuivie grâce aux traces laissées par les suspects. Une adresse Gmail associée à un pseudonyme actif dans CanisterWorm avait aussi été reliée, lors d’un ancien litige, à un compte PayPal comportant un nom réel. Les enquêteurs ont ensuite découvert que des données volées étaient sauvegardées sur un espace Google Drive lié à cette même adresse.
Google a communiqué ces éléments au FBI. En août 2026, deux Australiens d’une vingtaine d’années, Ruben Ian Thomson et Louis Michael Gaebler, ont été arrêtés et inculpés en Australie. Les autorités les présentent comme des participants importants de TeamPCP, mais leur responsabilité doit encore être établie par la justice.
À retenir : cette affaire rappelle qu’une attaque contre un logiciel libre peut se propager très loin, jusque dans les systèmes de grandes entreprises et d’institutions publiques. Entreprises comme particuliers doivent révoquer rapidement tout identifiant signalé comme compromis, renouveler les mots de passe concernés, vérifier les jetons d’accès actifs et installer sans attendre les correctifs de sécurité disponibles.
