Co víme o zatčení údajných členů hackerské skupiny TeamPCP v Austrálii

Co se stalo 26. srpna

Australská federální policie (AFP) společně s policií Západní Austrálie a za asistence amerického Federálního úřadu pro vyšetřování (FBI) zatkla dva muže ze Západní Austrálie. Zásah následoval po prohlídkách nemovitostí v Cottesloe, Hamilton Hill a Mandurahu. Policisté zabavili elektronická zařízení a další materiál, který nyní podrobují forenznímu zkoumání. 7

Veřejně dostupné zprávy identifikují zatčené jako Rubena Iana Thomsona, 21, z Cottesloe, a Louise Michaela Gaeblera, 23, z Mandurahu. Označení „Michael Gaebler“ je tedy zkrácené; jeho celé veřejně uváděné jméno je Louis Michael Gaebler. Oba měli 27. srpna stanout před magistrátním soudem v Perthu. AFP ve zveřejněném materiálu neuvedla rozhodnutí o případné kauci, takže její výsledek nelze z dostupných podkladů potvrdit. 7

Jaká obvinění muži čelí

Thomson čelí osmi bodům obžaloby:

• držení dat pro účely počítačového trestného činu, s maximální sazbou tří let vězení;
• čtyřem bodům neoprávněné změny dat s úmyslem spáchat závažný trestný čin, u každého s maximální sazbou pěti let;
• poskytování dat pro účely počítačového trestného činu, s maximální sazbou tří let;
• nesplnění příkazu podle paragrafu 3LA, s maximální sazbou deseti let;
• nakládání s údajnými výnosy z trestné činnosti v hodnotě nejméně 100 000 dolarů, s maximální sazbou dvaceti let. 7

Gaebler čelí šesti bodům obžaloby: držení dat, čtyřem údajným případům neoprávněné změny dat a poskytování dat. U těchto skutků platí odpovídající maximální sazby tři a pět let vězení. 7

Uvedené trestní sazby představují zákonná maxima. Neznamená to, že by se automaticky sčítala, ani že by šlo o trest, který by některý z mužů skutečně dostal v případě odsouzení.

Jak měl údajný útok fungovat

AFP tvrdí, že syndikát vkládal škodlivý kód do softwaru zveřejněného v open-source repozitářích. Vývojáři, kteří tento software následně používali, tak podle policie mohli škodlivé komponenty převzít, aniž o nich věděli.

Podle AFP mohl tento postup kompromitovat více než 1 000 organizací po celém světě, umožnit krádež více než 500 000 přihlašovacích údajů a vést k odcizení nejméně 300 GB dat. Náklady na odstraňování následků podle policie dosahují stovek milionů dolarů. Jde o tvrzení vyšetřovatelů, nikoli o soudem potvrzená zjištění. 7

Které projekty byly zasaženy

Nezávislé bezpečnostní analýzy spojují TeamPCP s kompromitací nástrojů Trivy, Checkmarx KICS a LiteLLM. Zprávy popisují také další údajné cíle, mezi nimi Mercor a infrastrukturu související s GitHubem. 36

Jeden z dopadů má přitom oporu v oficiálním evropském zdroji. CERT-EU potvrdil, že Evropská komise nahlásila závažný incident v cloudovém prostředí, který souvisel s kompromitací dodavatelského řetězce Trivy. Podle CERT-EU byl počáteční přístup získán právě prostřednictvím tohoto útoku, jenž byl veřejně připsán aktérovi známému jako TeamPCP. 1

Co zatím potvrzené není

V médiích a bezpečnostních komunitách se objevují podrobnější tvrzení o údajném fungování skupiny. Z dostupných autoritativních podkladů však nelze spolehlivě potvrdit, že:

• Thomson používal přezdívku „Ellis“;
• byl až do března 2026 vůdcem TeamPCP;
• osobně na operaci vydělal přibližně 20 000 dolarů;
• TeamPCP fungoval jako volné kolektivní uskupení s jednou ústřední postavou, a nikoli jako hierarchicky uspořádaná skupina.

Tato tvrzení by bylo možné hodnotit pevněji až na základě obžaloby, soudních podání nebo svědeckých výpovědí pod přísahou.

Souvislost se Shai-Hulud

Bezpečnostní výzkumníci spojují TeamPCP s vlnou šíření označovanou jako Mini Shai-Hulud. Dostupné materiály ale neumožňují s jistotou tvrdit, že skupina vytvořila původního červa Shai-Hulud.

Stejně tak je třeba opatrně zacházet s hodnocením, že TeamPCP měla omezené technické schopnosti a především rychle upravovala veřejně dostupné exploity či malware. To je analytický komentář, nikoli závěr uvedený v oznámení AFP. 3

Co bude následovat

Forenzní analýza zabavených zařízení pokračuje. AFP zároveň uvedla, že nevylučuje další zatčení ani vznesení dodatečných obvinění. 7

V tuto chvíli jsou tedy potvrzená především samotná zatčení, prohlídky, zabavení zařízení a vznesená obvinění. Tvrzení o osobní roli jednotlivých mužů, jejich přezdívkách, výdělcích a přesné vnitřní struktuře TeamPCP zůstávají neověřená. Obvinění navíc nejsou důkazem viny.