TeamPCP piège le SDK Telnyx sur PyPI via stéganographie WAV

Le 27 mars 2026, deux versions compromises du package Python telnyx, numérotées 4.87.1 et 4.87.2, ont été publiées sur le registre PyPI. L'attaque est attribuée au groupe TeamPCP, déjà responsable de la compromission du package LiteLLM quelques semaines auparavant. Le code malveillant a été injecté dans le fichier telnyx/_client.py, s'exécutant automatiquement à chaque importation du package dans une application Python. La technique employée est particulièrement sophistiquée : plutôt que d'héberger un exécutable ou un blob base64 facilement détectable, TeamPCP a encapsulé le payload final dans un fichier WAV grâce à la stéganographie audio, une approche permettant de contourner les inspections réseau et les solutions EDR filtrant les contenus suspects habituels. Le malware cible indifféremment Windows, Linux et macOS, où il collecte les variables d'environnement, les fichiers .env et l'historique du shell, des éléments souvent porteurs de secrets applicatifs et d'identifiants d'accès.

Ce qui s'est passé

Le 27 mars 2026, deux versions compromises du package Python telnyx (4.87.1 et 4.87.2) ont été publiées sur le registre PyPI. L'attaque est attribuée au groupe TeamPCP, déjà responsable de la compromission du package LiteLLM quelques semaines plus tôt. Le code malveillant a été injecté dans le fichier telnyx/_client.py, s'exécutant automatiquement à chaque importation du package dans une application Python.

La technique employée est particulièrement sophistiquée : plutôt que d'héberger un exécutable ou un blob base64 facilement détectable, TeamPCP a encapsulé le payload final dans un fichier .WAV en utilisant la stéganographie audio. Cette approche permet de contourner les inspections réseau et les solutions EDR qui filtrent les contenus suspects. Le malware cible indifféremment Windows, Linux et macOS, collectant les variables d'environnement, les fichiers .env et l'historique du shell.

Selon les analyses de Datadog Security Labs et de la communauté open source, le token PyPI utilisé pour publier les versions malveillantes provient vraisemblablement de la compromission LiteLLM antérieure. TeamPCP aurait récupéré ce token en aspirant les credentials des développeurs et pipelines CI ayant importé LiteLLM tout en disposant d'un accès au compte PyPI telnyx. Cette attaque en cascade illustre l'effet domino des compromissions supply chain dans l'écosystème Python.

Pourquoi c'est important

Cette attaque marque une évolution préoccupante dans les techniques de supply chain attack. La stéganographie audio comme vecteur de livraison de malware est rare et démontre un niveau de sophistication croissant des attaquants ciblant les registres de packages. Les failles récentes dans LangChain et LangGraph montrent que l'écosystème IA et communications est devenu une cible de choix.

L'effet cascade est le point le plus alarmant : une seule compromission initiale (LiteLLM) a permis à TeamPCP d'étendre son emprise à un second package populaire. Ce modèle d'attaque latérale via les credentials volés transforme chaque compromission supply chain en tête de pont pour les suivantes. Les pipelines CI/CD qui ne segmentent pas leurs secrets sont particulièrement exposés.

Ce qu'il faut retenir

• Vérifiez immédiatement si les versions 4.87.1 ou 4.87.2 de telnyx sont installées dans vos projets et rétrograder vers la 4.87.0.
• Révoquez et renouvelez tous les tokens et secrets d'environnement des machines ayant importé les versions compromises.
• Segmentez les secrets dans vos pipelines CI/CD : un token PyPI ne devrait jamais coexister avec d'autres credentials sensibles dans le même environnement.