Les autorités australiennes ont procédé à l’arrestation de deux hommes soupçonnés d’avoir joué un rôle au sein d’une organisation cybercriminelle associée à TeamPCP arrêtés. Les investigations décrivent une opération visant à compromettre des chaînes d’approvisionnement logicielles et des outils de sécurité utilisés par les développeurs, avec à la clé un préjudice financier évalué à plusieurs centaines de millions de dollars.
Les personnes mises en cause sont Ruben Ian Thomson, âgé de 21 ans, et Louis Michael Gaebler, 23 ans. Tous deux ont été interpellés à Perth et font l’objet de charges liées à une activité criminelle présumée autour du piratage informatique, de la collecte d’identifiants et du blanchiment.
Deux suspects arrêtés à Perth
Selon la police australienne, les deux hommes sont poursuivis pour leur implication présumée dans une structure criminelle opérant à grande échelle. Les enquêteurs indiquent que le groupe visait notamment les environnements automatisés utilisés pour construire et déployer des logiciels, en s’appuyant sur des mécanismes déjà en place chez les entreprises.
Les autorités précisent que des appareils appartenant à Thomson et Gaebler ont été saisis. L’exploitation forensique de ces éléments fait partie du travail en cours pour déterminer l’ampleur exacte des gains et des actions commises.
Des accusations liées au piratage et au blanchiment
Ruben Ian Thomson fait face à plusieurs catégories d’infractions. Il est notamment accusé d’avoir participé à des faits liés au hacking informatique et au blanchiment, avec cinq types d’accusations mentionnés par les enquêteurs.
Pour chacune des charges retenues, Thomson encourt une peine allant de 3 à 20 ans d’emprisonnement. Cette fourchette reflète la gravité des faits reprochés, à la fois sur le plan technique et sur le plan financier.
De son côté, Louis Michael Gaebler est poursuivi pour hacking. Les chefs d’accusation les plus lourds sont assortis d’un maximum de 5 ans de prison.
Des chaînes d’approvisionnement logicielles visées
Au cœur de l’affaire, les enquêteurs décrivent une approche orientée vers les chaînes d’approvisionnement et les outils utilisés par les équipes de développement. L’objectif, d’après les informations communiquées, consistait à compromettre des composants ou des systèmes présents dans le processus de production logicielle.
Le dossier cite plusieurs outils et écosystèmes, dont Trivy (Aqua Security), KICS (Checkmarx) et LiteLLM (lié à PyPI). Ces références illustrent une stratégie visant des éléments connus du monde du développement et de la sécurisation des applications.
Les autorités indiquent que les actions présumées ont permis de prélever plus de 500 000 identifiants professionnels. Ces données auraient été extraites depuis des chaînes CI/CD compromises.
Comment le vol d’identifiants s’organise dans les CI/CD
Le schéma décrit par les enquêteurs s’appuie sur les mécanismes d’exécution automatique des pipelines. En détournant des workflows de build et des registres de paquets largement utilisés, le groupe aurait transformé des processus internes de développement en vecteurs d’exfiltration.
Concrètement, les données récupérées auraient inclus des clés d’accès cloud et des secrets d’infrastructure. Une fois obtenus, ces éléments auraient été dirigés vers d’autres acteurs criminels, notamment des groupes impliqués dans l’extorsion et le ransomware.
Cette articulation est importante : elle montre que l’objectif n’était pas uniquement de “pirater” une machine, mais de monétiser l’accès en alimentant des opérations ultérieures menées par d’autres réseaux criminels.
Mini Shai-Hulud : un ver pour automatiser à grande échelle
Le dossier mentionne également le déploiement d’un ver informatique baptisé Mini Shai-Hulud. Les enquêteurs indiquent que le groupe aurait utilisé cet outil pour automatiser le vol d’identifiants et pour permettre une propagation à travers des registres de paquets.
Selon les informations communiquées, il existerait aussi des éléments suggérant l’usage probable d’un ver initial, souvent associé au terme Shai-Hulud. L’idée centrale reste la même : industrialiser l’attaque en la rendant capable de se déployer et de se renouveler sans intervention constante des opérateurs.
Des données exfiltrées depuis plus de 1 000 organisations
Les autorités australiennes affirment que le groupe aurait réussi à extraire au moins 300 Go de données. Cette exfiltration aurait concerné plus de 1 000 organisations à l’échelle mondiale.
La taille de l’ensemble exfiltré souligne l’impact potentiel : au-delà des identifiants, les données collectées peuvent inclure des éléments permettant d’accéder à des services, d’escalader des privilèges et de préparer des intrusions plus profondes.
À ce stade, l’enquête vise aussi à établir le montant exact des gains réalisés via ces activités illégales. Les enquêteurs travaillent à relier les preuves numériques et les résultats financiers supposés, en s’appuyant sur les dispositifs saisis.
Une enquête en cours et des suites possibles
Dans un communiqué, la police fédérale australienne indique que les volumes de données confisqués font l’objet d’analyses forensiques. Les investigations se poursuivent et les autorités précisent que de nouvelles arrestations ou charges ne sont pas exclues.
Cette annonce s’inscrit dans un contexte plus large : d’autres affaires récentes liées à des hébergements “bulletproof” ou à des groupes impliqués dans des intrusions et rançongiciels montrent que la coopération et les enquêtes inter-pays se renforcent.
Pourquoi cette affaire concerne directement les équipes de développement
Au-delà du volet judiciaire, cette affaire illustre un point clé pour les entreprises : la sécurité ne se limite pas aux systèmes “frontaux” comme les serveurs web. Les compromis peuvent aussi apparaître dans les processus de build et de livraison logicielle, là où se trouvent les accès, les secrets et les identifiants nécessaires au déploiement.
Les éléments cités dans le dossier — outils d’analyse de sécurité, registres de paquets et workflows CI/CD — rappellent que les organisations doivent protéger non seulement le code, mais aussi l’écosystème qui l’accompagne : dépendances, automatisations et mécanismes d’exécution.
En pratique, cela implique de renforcer les contrôles autour des identifiants utilisés en CI/CD, de mieux surveiller les pipelines et de réduire les privilèges des systèmes d’automatisation. L’objectif est de limiter l’impact d’une compromission et d’empêcher que des accès volés ne servent à propager une intrusion.
Conclusion
Avec TeamPCP arrêtés dans le viseur des autorités, l’arrestation de Ruben Ian Thomson et de Louis Michael Gaebler à Perth met en lumière une stratégie de cybercriminalité centrée sur la chaîne d’approvisionnement logicielle. Les accusations décrivent une collecte massive d’identifiants depuis des pipelines CI/CD compromis, une exfiltration de données conséquente et l’usage d’un ver destiné à automatiser la propagation.
L’enquête reste en cours. Les analyses forensiques des dispositifs saisis doivent encore préciser l’ampleur des actions et des revenus générés, tandis que de possibles suites judiciaires sont évoquées par les autorités.
Source: https://www.securityweek.com/australia-arrests-2-alleged-teampcp-hackers/
