TeamPCP étend son attaque supply chain à Checkmarx KICS

Ce qui s'est passé

Le 23 mars 2026, les chercheurs de Sysdig et Wiz ont identifié une nouvelle vague d'attaques supply chain orchestrée par le groupe TeamPCP — déjà responsable de la compromission des GitHub Actions d'Aqua Security Trivy le 19 mars 2026. Exploitant des tokens GitHub Personal Access Tokens (PAT) dérobés lors de cette première intrusion, les attaquants ont effectué des force-push malveillants sur les dépôts `ast-github-action` et `kics-github-action` de Checkmarx, détournant 35 tags de version entre 12h58 et 16h50 UTC. Checkmarx KICS (Keeping Infrastructure as Code Secure) est l'un des outils open source les plus utilisés pour l'analyse statique des configurations d'infrastructure (Terraform, Kubernetes, Dockerfile, CloudFormation). Les builds CI/CD utilisant ces actions pendant la fenêtre de compromission exécutaient silencieusement un script `setup.sh` malveillant injecté dans l'image. Ce script procédait à une extraction exhaustive des secrets présents en mémoire sur le runner : identifiants AWS IAM (via l'Instance Metadata Service), tokens Google Cloud et Azure, fichiers de configuration Kubernetes (kubeconfig), credentials Docker Hub, GitHub Container Registry et ECR, ainsi que les webhooks Slack et Discord et les données de portefeuilles crypto. L'ensemble des données exfiltrées était chiffré en AES-256 + RSA-4096 avant d'être envoyé vers des domaines typosquat contrôlés par les attaquants, notamment `checkmarx[.]zone`. En parallèle, TeamPCP a distribué des extensions VS Code trojanisées via la marketplace OpenVSX pendant une fenêtre de quelques heures le même jour, élargissant la surface d'attaque aux postes de développement. Au total, l'opération a affecté quatre dépôts GitHub Actions, des registres de conteneurs (Docker Hub, GHCR, ECR), et plus de 66 packages npm ont été identifiés comme potentiellement compromis. Checkmarx a indiqué n'avoir pas connaissance d'impact confirmé sur les données clients, la fenêtre d'exposition ayant été limitée.

Ce qui rend cette attaque particulièrement préoccupante est son modèle de propagation en cascade : un seul PAT non révoqué, issu d'un premier outil de sécurité compromis (Trivy), a servi de graine pour compromettre un second outil de sécurité de renom (Checkmarx KICS). Les équipes qui utilisent ces outils précisément pour sécuriser leurs pipelines se retrouvent dans la situation paradoxale d'avoir utilisé leurs scanners de sécurité comme vecteur d'attaque. Cette dynamique fait directement écho à la compromission initiale de Trivy et à d'autres attaques de la chaîne d'approvisionnement documentées récemment, comme GlassWorm et ses 72 extensions VSCode piégées.

Pourquoi c'est important

L'attaque TeamPCP démontre concrètement comment une seule mauvaise pratique — l'utilisation de PAT GitHub à longue durée de vie non scoped — peut provoquer un effet domino dévastateur à travers l'ensemble de la chaîne d'outils DevSecOps. Les équipes de développement font confiance aux GitHub Actions des fournisseurs de sécurité reconnus : Trivy, Checkmarx KICS, Snyk, Semgrep. Cette confiance implicite, couplée au non-épinglage des versions d'actions (utilisation de tags flottants comme `@latest` ou `@v3` plutôt que des SHA de commit immuables), crée une vulnérabilité structurelle dans tous les pipelines CI/CD concernés. La recommandation prioritaire est la migration vers l'authentification OIDC fédérée pour tous les accès cloud depuis GitHub Actions — mécanisme qui génère des credentials éphémères limités à chaque exécution, rendant inutile tout PAT longue durée. En complément, l'épinglage de toutes les GitHub Actions à un SHA de commit complet (ex. `uses: checkmarx/kics-github-action@sha256:abc123...`) élimine le risque de tag poisoning. Pour approfondir les risques de supply chain sur les outils DevSecOps, consultez également l'analyse de PhantomRaven ciblant les secrets CI/CD via npm. Un audit de tous les workflows GitHub Actions est désormais urgent pour les organisations utilisant les actions Checkmarx ou Trivy — pour être accompagné, voir aussi notre analyse des risques sur les outils IA exposés.

Ce qu'il faut retenir

• Ne jamais utiliser de PAT GitHub à longue durée de vie dans les pipelines CI/CD : migrer vers OIDC fédéré pour tous les accès cloud (AWS, GCP, Azure) depuis GitHub Actions.
• Épingler toutes les GitHub Actions à un SHA de commit immuable et non à un tag flottant pour éliminer le risque de tag poisoning comme celui opéré par TeamPCP sur Checkmarx KICS.
• Auditer immédiatement tous les workflows ayant utilisé `checkmarx/ast-github-action` ou `checkmarx/kics-github-action` entre le 23 mars 2026 12h58 et 16h50 UTC et révoquer tous les credentials potentiellement exposés.