Det ved vi om anholdelserne af to påståede TeamPCP-medlemmer

Anholdelserne og sigtelserne er bekræftet, men flere af de mere detaljerede påstande om lederskab, aliaser, indtjening, arbejdsform og kaution er endnu ikke fastslået af AFP's udmelding eller andet materiale med høj autoritet. De sigtede er ikke dømt, og oplysningerne om deres roller skal derfor behandles som påstande.

Hvad skete der 26. august?

Australian Federal Police (AFP) og Western Australia Police, med bistand fra FBI, anholdt en 21-årig mand fra Cottesloe og en 23-årig mand fra Mandurah. Samtidig gennemførte myndighederne ransagninger på adresser i Cottesloe, Hamilton Hill og Mandurah. Elektroniske enheder og andet materiale blev beslaglagt og skal undersøges retsmedicinsk. 7

Hvem er de sigtede?

Offentlig rapportering identificerer mændene som Ruben Ian Thomson, 21, og Louis Michael Gaebler, 23. Det er derfor mere præcist at omtale den ældre mand som Louis Michael Gaebler frem for blot “Michael Gaebler”.

De skulle fremstilles i Perth Magistrates Court 27. august. AFP's udmelding oplyser ikke, om de blev løsladt mod kaution, eller hvilke eventuelle vilkår der blev fastsat. Kautionsresultaterne er derfor ikke bekræftet på det foreliggende grundlag. 7

Hvilke sigtelser er rejst?

Thomson er sigtet for otte forhold:

• besiddelse af data med henblik på en computerrelateret lovovertrædelse, med en maksimal straf på tre års fængsel
• fire forhold om uautoriseret ændring af data med henblik på en alvorlig lovovertrædelse, med op til fem år for hvert forhold
• levering af data med henblik på en computerrelateret lovovertrædelse, med op til tre år
• manglende efterlevelse af et påbud efter section 3LA, med op til 10 år
• handel med mindst 100.000 dollars i påstået udbytte fra kriminalitet, med op til 20 år.

Gaebler er sigtet for seks forhold: besiddelse af data, fire forhold om påstået uautoriseret ændring af data samt levering af data. De relevante lovbestemte maksimumstraffe er tre og fem år.

Maksimumstraffe lægges ikke nødvendigvis sammen, og de siger heller ikke, hvilken straf mændene vil kunne få, hvis de bliver kendt skyldige. 7

Hvad hævder AFP om kampagnen?

Ifølge AFP indsatte syndikatet ondsindet kode i software fra open source-projekter. Udviklere længere nede i forsyningskæden kunne derefter have taget softwaren i brug uden at vide, at den var kompromitteret.

AFP siger, at koden potentielt kompromitterede mere end 1.000 organisationer verden over, muliggjorde tyveri af over 500.000 legitimationsoplysninger og førte til udtræk af mindst 300 GB data. Myndigheden anslår desuden, at omkostningerne til oprydning og genoprettelse løber op i hundredvis af millioner dollars. Det er myndighedernes påstande, mens efterforskningen fortsætter. 7

Hvilke projekter er sat i forbindelse med sagen?

Uafhængige sikkerhedsrapporter har knyttet TeamPCP til kompromitteringer af sikkerhedsværktøjerne Trivy og Checkmarx KICS samt AI-gatewayen LiteLLM. Andre rapporter har også omtalt mulige mål som Mercor og infrastruktur med forbindelse til GitHub. 36

CERT-EU har separat bekræftet, at Europa-Kommissionen rapporterede en alvorlig hændelse i en cloudtjeneste, som ifølge organisationens vurdering havde forbindelse til kompromitteringen af Trivy-forsyningskæden. Det gør denne del af sagen mere konkret end en ren spekulation om mulige ofre. 1

Hvad er ikke dokumenteret?

Der er ikke tilstrækkeligt materiale fra højt autoritative kilder til at fastslå, at Thomson brugte aliaset “Ellis”, at han ledede TeamPCP frem til marts 2026, eller at han personligt tjente omkring 20.000 dollars.

Det er heller ikke dokumenteret, om TeamPCP fungerede som et løst netværk med en central frontfigur eller som en mere hierarkisk organisation. Sådanne beskrivelser bør derfor behandles som ubekræftede, medmindre de senere understøttes af anklageskrifter, edsvorne forklaringer eller andet bevismateriale.

Hvad med Shai-Hulud?

Sikkerhedsforskere har forbundet TeamPCP med en spredningsbølge, der er blevet kaldt “Mini Shai-Hulud”. Det tilgængelige materiale fastslår dog ikke med tilstrækkelig sikkerhed, at TeamPCP skabte den oprindelige Shai-Hulud-orm.

Påstanden om, at gruppen primært genbrugte offentligt tilgængelige sårbarheder og malware-idéer hurtigt frem for at udvikle meget avancerede værktøjer, er desuden en analytisk vurdering – ikke en konklusion fra AFP. 3

Hvad sker der nu?

AFP oplyser, at den retsmedicinske gennemgang af det beslaglagte materiale fortsætter. Myndigheden har samtidig ikke udelukket yderligere anholdelser eller sigtelser. 7