MtoM Mag - Le journal de l'MtoM.

Flare publie une analyse détaillant comment son équipe de chercheurs est parvenue, de manière indépendante, à identifier l’opérateur derrière TeamPCP, avant de confirmer ses conclusions avec les forces de l’ordre.

TeamPCP : du piratage opportuniste à des attaques majeures de supply chain

Apparu fin 2025, TeamPCP ciblait initialement des infrastructures cloud mal configurées ou exposées : API Docker, clusters Kubernetes, dashboards Ray ou instances Redis. Les machines compromises étaient ensuite utilisées pour miner de la cryptomonnaie, constituer des réseaux de proxies ou voler des données à des fins d’extorsion. Début 2026, TeamPCP a changé de stratégie et commencé à cibler les outils logiciels auxquels les entreprises font confiance, avec un effet démultiplicateur considérable en s’attaquant, entre autres, à Trivy, un scanner de vulnérabilités open source largement utilisé, et à LiteLLM, qui totalise environ 95 millions de téléchargements par mois.

Comment Flare a reconstitué l’identité numérique du cybercriminel peut être reconstituée

Les chercheurs de Flare sont partis d’un pseudonyme utilisé par TeamPCP, DeadCatx3, puis ont recoupé progressivement différentes traces numériques : profils HackerOne et Hugging Face, domaine utilisé comme infrastructure C2, adresses e-mail, identifiants compromis, comptes TikTok et Steam, jusqu’à un avatar également utilisé sur Telegram.

C’est notamment la réutilisation d’un mot de passe compromis qui a permis à Flare de relier une adresse e-mail scolaire à une adresse Gmail personnelle, puis à différents comptes en ligne.

L’élément décisif est venu d’une photo de profil Steam représentant un chat devant plusieurs écrans : les chercheurs ont retrouvé exactement le même avatar sur le compte Telegram PCP.sh de TeamPCP.

Flare a ainsi estimé, avec un haut niveau de confiance, avoir identifié l’opérateur derrière DeadCatx3 et TeamPCP comme étant Ruben Thomson, basé à Perth en Australie, et a confirmé ses conclusions avec les forces de l’ordre.

L’excès de visibilité de TeamPCP a contribué à sa désanonymisation

C’est l’un des enseignements intéressants de l’enquête : TeamPCP cherchait délibérément la visibilité. Le groupe communiquait sur Telegram et X, provoquait ses victimes et avait même accordé une interview à la presse. Mais cette volonté de construire une sorte de « marque » cybercriminelle a multiplié les traces permettant de relier les différentes identités : réutilisation de pseudonymes, avatars, mots de passe et références à des infrastructures techniques.

Pour limiter ce type d’attaque, Flare recommande notamment de figer les GitHub Actions sur des commit SHA complets plutôt que sur des tags, d’effectuer les rotations d’identifiants à partir d’un inventaire exhaustif, de limiter fortement les droits et la durée de vie des tokens de publication, de détecter les connexions réseau sortantes inhabituelles provenant des outils de sécurité et de surveiller l’apparition des domaines de l’entreprise dans les stealer logs et combolists.