TeamPCP est apparu en ligne à la fin de 2025 et a mené une campagne fondée sur des compromissions répétées de la chaîne logicielle. Le groupe a infecté des centaines de projets open source, volé des comptes de développeurs et utilisé ces comptes pour injecter des logiciels malveillants dans d’autres outils. Il a aussi déployé Mini Shai-Hulud, un ver capable de se propager seul, dont le nom vient de Dune. La campagne a touché plus de 1 000 entreprises.

Au printemps, TeamPCP a compromis Trivy, LiteLLM, l’infrastructure de Checkmarx, TanStack et Mistral AI. Les attaques ont ensuite concerné GitHub, le prestataire de données Mercor, des appareils d’employés d’OpenAI, la Commission européenne et d’autres organisations. Mini Shai-Hulud a automatisé une partie de la propagation. Son nom semble faire référence à un ver comparable apparu en septembre 2025, mais le lien avec TeamPCP n’est pas établi.

Austin Larsen, chercheur du Google Threat Intelligence Group, a expliqué lors de la conférence de sécurité LABScon, le 18 septembre 2026, qu’un analyste de Mandiant avait rejoint le cercle interne de TeamPCP en mars. Cette identité clandestine avait gagné pendant plusieurs mois la confiance d’un acteur ensuite invité dans le groupe. Elle a obtenu l’accès à un salon central appelé CanisterWorm, qui comptait environ 12 membres. L’analyste a aussi pu consulter un serveur contenant des noms d’utilisateur, des mots de passe et des jetons d’accès volés.

Google s’est servi de cet accès pour freiner la campagne. L’équipe a contacté des fournisseurs comme Amazon Web Services et Microsoft afin qu’ils révoquent les identifiants, puis elle a prévenu les organisations touchées. Des centaines de notifications ont été envoyées et de nombreux destinataires ont réagi rapidement. Les échanges internes ont aussi révélé un exploit zero-day développé avec l’aide d’un outil d’IA contre un logiciel de connexion très répandu. Il devait contourner l’authentification à deux facteurs. Google a testé le code, vérifié qu’il fonctionnait après quelques modifications et alerté l’éditeur, qui a corrigé la faille. Une étude de cas publiée par Google en mai décrivait l’exploit, sans citer TeamPCP ni expliquer comment Google l’avait découvert.

La police fédérale australienne a indiqué que TeamPCP détenait plus de 500 000 identifiants. Selon Larsen, le groupe ne tirait de cette réserve que quelques dizaines de milliers de dollars d’extorsion. Il a donc proposé l’accès aux données à d’autres groupes criminels, dont ShinyHunters, en échange d’une part des paiements. ShinyHunters avait déjà obtenu des millions grâce au vol de données et aux rançongiciels, notamment lors de l’attaque de Canvas, qui avait perturbé des milliers d’écoles aux États-Unis. Vers avril, ShinyHunters a utilisé les identifiants de TeamPCP pour ses propres extorsions et a envoyé à Larsen le journal complet des discussions. TeamPCP a alors changé de serveur, réduit son cercle interne et exclu ShinyHunters ainsi que l’identité de Google.

Larsen a relié un pseudonyme très actif dans CanisterWorm à [email protected] grâce à une fuite de données du forum BreachForums. Il a ensuite retrouvé un conflit datant de 2019 entre le pseudonyme sheepstealing et un vendeur de clés Microsoft Office piratées. La demande de remboursement renvoyait à un compte PayPal associé à la même adresse. Après le changement d’hébergeur, un partenaire de confiance a fourni à Google des informations sur le nouveau serveur. Les données volées étaient sauvegardées sur un compte Google Drive lié à cette adresse. Google a transmis le signalement au FBI, qui a répondu en quelques minutes selon Larsen. Le journaliste et spécialiste de la cybersécurité Brian Krebs avait publié séparément des indices sur cette identité.

Environ un mois plus tard, les autorités américaines ont obtenu les données du compte au moyen d’un mandat. La police australienne a ensuite arrêté Ruben Ian Thomson et Louis Michael Gaebler, deux Australiens âgés d’une vingtaine d’années. Le FBI a participé à l’enquête commune. La police fédérale australienne les a décrits comme des participants principaux de TeamPCP. Son premier communiqué ne les nommait pas en raison des lois australiennes sur la vie privée. Les deux hommes n’ont pas répondu aux demandes de commentaire. Google a précisé que son analyste sous couverture s’était limité à l’observation, sans piratage ni encouragement à commettre des infractions.

L’enquête a commencé au moment du lancement de la Cyber Disruption Unit de Google. Selon Larsen, le Google Threat Intelligence Group considère désormais l’action directe pour protéger les utilisateurs comme une mission officielle.