TeamPCP étend son attaque supply chain à Checkmarx KICS

Ce qui s'est passé

Le 23 mars 2026, les chercheurs de Sysdig et Wiz ont mis au jour une nouvelle vague d'attaques supply chain orchestrée par le groupe TeamPCP, déjà responsable de la compromission des GitHub Actions d'Aqua Security Trivy quatre jours plus tôt. En exploitant des tokens GitHub Personal Access Tokens dérobés lors de cette première intrusion, les attaquants ont procédé à des force-push malveillants sur les dépôts de Checkmarx KICS, un scanner Infrastructure as Code largement déployé dans les chaînes d'intégration continue. Cette extension de l'offensive TeamPCP à Checkmarx confirme une stratégie méthodique : compromettre les outils de sécurité eux-mêmes pour atteindre, par effet de cascade, des milliers de pipelines en aval. L'incident TeamPCP Checkmarx supply chain CI/CD illustre la fragilité persistante des dépendances de confiance dans les workflows DevSecOps modernes.

Ce qui rend cette attaque particulièrement préoccupante est son modèle de propagation en cascade : un seul PAT non révoqué, issu d'un premier outil de sécurité compromis (Trivy), a servi de graine pour compromettre un second outil de sécurité de renom (Checkmarx KICS). Les équipes qui utilisent ces outils précisément pour sécuriser leurs pipelines se retrouvent dans la situation paradoxale d'avoir utilisé leurs scanners de sécurité comme vecteur d'attaque. Cette dynamique fait directement écho à la compromission initiale de Trivy et à d'autres attaques de la chaîne d'approvisionnement documentées récemment, comme GlassWorm et ses 72 extensions VSCode piégées.

Pourquoi c'est important

L'attaque TeamPCP démontre concrètement comment une seule mauvaise pratique — l'utilisation de PAT GitHub à longue durée de vie non scoped — peut provoquer un effet domino dévastateur à travers l'ensemble de la chaîne d'outils DevSecOps. Les équipes de développement font confiance aux GitHub Actions des fournisseurs de sécurité reconnus : Trivy, Checkmarx KICS, Snyk, Semgrep. Cette confiance implicite, couplée au non-épinglage des versions d'actions (utilisation de tags flottants comme `@latest` ou `@v3` plutôt que des SHA de commit immuables), crée une vulnérabilité structurelle dans tous les pipelines CI/CD concernés. La recommandation prioritaire est la migration vers l'authentification OIDC fédérée pour tous les accès cloud depuis GitHub Actions — mécanisme qui génère des credentials éphémères limités à chaque exécution, rendant inutile tout PAT longue durée. En complément, l'épinglage de toutes les GitHub Actions à un SHA de commit complet (ex. `uses: checkmarx/kics-github-action@sha256:abc123...`) élimine le risque de tag poisoning. Pour approfondir les risques de supply chain sur les outils DevSecOps, consultez également l'analyse de PhantomRaven ciblant les secrets CI/CD via npm. Un audit de tous les workflows GitHub Actions est désormais urgent pour les organisations utilisant les actions Checkmarx ou Trivy — pour être accompagné, voir aussi notre analyse des risques sur les outils IA exposés.

Ce qu'il faut retenir

• Ne jamais utiliser de PAT GitHub à longue durée de vie dans les pipelines CI/CD : migrer vers OIDC fédéré pour tous les accès cloud (AWS, GCP, Azure) depuis GitHub Actions.
• Épingler toutes les GitHub Actions à un SHA de commit immuable et non à un tag flottant pour éliminer le risque de tag poisoning comme celui opéré par TeamPCP sur Checkmarx KICS.
• Auditer immédiatement tous les workflows ayant utilisé `checkmarx/ast-github-action` ou `checkmarx/kics-github-action` entre le 23 mars 2026 12h58 et 16h50 UTC et révoquer tous les credentials potentiellement exposés.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.