La veille cybersécurité permanente s'impose désormais comme une nécessité opérationnelle pour les équipes de sécurité : elle permet d'anticiper les menaces émergentes, de prioriser les actions de remédiation et d'ajuster les stratégies de défense en temps réel. L'actualité récente illustre une accélération sans précédent des vulnérabilités et des incidents affectant les organisations de tous secteurs. La campagne attribuée au groupe TeamPCP en constitue une démonstration éloquente : en détournant des serveurs MCP (Model Context Protocol) intégrés aux chaînes de développement assistées par IA, les attaquants sont parvenus à compromettre des environnements cloud entiers. Cette attaque de type TeamPCP supply chain cloud met en lumière la fragilité des dépendances logicielles et des connecteurs d'agents IA, devenus des vecteurs d'intrusion privilégiés. Elle rappelle l'urgence de contrôler rigoureusement chaque composant tiers déployé au sein des infrastructures critiques.

  • Contexte et chronologie des événements
  • Impact sur l'écosystème cybersécurité
  • Leçons apprises et recommandations
  • Perspectives et évolutions attendues

En bref

  • Le groupe TeamPCP exploite des credentials volés lors d'attaques supply chain pour compromettre des environnements AWS, Azure et SaaS.
  • Les clés d'accès récupérées via les compromissions de Trivy, LiteLLM et Checkmarx sont validées puis weaponisées en quelques heures.
  • Les organisations qui ont rapidement révoqué leurs credentials ont limité l'impact de l'attaque.

Ce qui s'est passé

Le groupe cybercriminel TeamPCP, également connu sous les noms DeadCatx3, PCPcat et ShellForce, a franchi une nouvelle étape dans sa campagne d'attaques supply chain qui sévit depuis début mars 2026. Selon les chercheurs de Wiz, le groupe utilise désormais les credentials dérobés lors de ses compromissions précédentes pour s'infiltrer directement dans des environnements cloud de production, d'après un rapport publié par Dark Reading le 31 mars.

L'équipe CIRT de Wiz a détecté les premières activités malveillantes le 19 mars : les attaquants utilisaient l'outil open source Trufflehog pour valider en masse des clés d'accès AWS, des secrets d'applications Azure et des tokens SaaS récupérés lors des compromissions de projets comme Trivy, LiteLLM et Checkmarx GitHub Actions. Une fois validés, ces credentials étaient exploités pour accéder à des environnements de production, exfiltrer des données et préparer des opérations d'extorsion.

TeamPCP s'est imposé comme une plateforme cybercriminelle cloud-native, spécialisée dans la compromission d'infrastructures modernes. Le groupe avait déjà fait parler de lui en compromettant des packages PyPI, des extensions VS Code et des images Docker Hub au cours du mois de mars, selon SecurityWeek.

Pourquoi c'est important

Cette évolution marque un tournant dans les attaques supply chain : TeamPCP ne se contente plus de compromettre des outils open source, il weaponise les credentials volés pour attaquer directement les infrastructures cloud des entreprises victimes. Cette chaîne d'attaque illustre le risque systémique que représentent les secrets codés en dur dans les pipelines CI/CD. Les organisations qui n'ont pas rapidement fait tourner leurs clés après les compromissions de mars se retrouvent exposées à des intrusions de seconde vague potentiellement plus dévastatrices.

Ce qu'il faut retenir

  • Toute organisation ayant utilisé Trivy, LiteLLM ou Checkmarx GitHub Actions doit immédiatement auditer et révoquer ses credentials cloud.
  • L'utilisation de gestionnaires de secrets et la rotation automatique des clés sont désormais indispensables dans les pipelines CI/CD.
  • Les outils de détection de secrets comme Trufflehog, utilisés ici à des fins malveillantes, doivent être intégrés en mode défensif dans vos workflows.

Comment savoir si mon organisation est concernée par les attaques TeamPCP ?

Vérifiez si vous utilisez des versions compromises de Trivy GitHub Actions, LiteLLM 1.82.7-1.82.8 ou des packages Telnyx sur PyPI. Auditez vos logs cloud pour détecter des accès inhabituels depuis des IP inconnues. Recherchez des activités Trufflehog dans vos environnements CI/CD. En cas de doute, procédez à une rotation complète de vos credentials AWS, Azure et SaaS.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact

Article suivant recommandé

L'Iran relance Pay2Key avec des pseudo-ransomwares destructeurs →

L'Iran relance le groupe Pay2Key avec des pseudo-ransomwares destructeurs et recrute des affiliés sur les forums russes

Points clés à retenir

  • Contexte : TeamPCP compromet des environnements cloud via des credentia — un sujet critique pour la cybersécurité des organisations
  • Impact : Les risques identifiés peuvent compromettre la confidentialité, l'intégrité et la disponibilité des systèmes
  • Action recommandée : Évaluer votre exposition et mettre en place les contrôles de sécurité appropriés

Sources et références

Termes clés

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.

Surface d'attaque : Ensemble des points d'entrée exploitables par un attaquant pour compromettre un système, incluant les services exposés, les interfaces utilisateur et les API.

Articles connexes :

Pour approfondir