Australian poliisi pidätti kaksi TeamPCP:hen yhdistettyä miestä – nämä asiat ovat vielä epäselviä

Australian viranomaiset ovat pidättäneet kaksi Länsi-Australiassa asuvaa miestä tutkinnassa, joka liittyy TeamPCP-nimellä tunnettuun kyberrikosryhmään. AFP:n eli Australian liittovaltion poliisin mukaan ryhmä olisi tunkeutunut avoimen lähdekoodin ohjelmistojen toimitusketjuihin ja levittänyt niiden kautta haitallista koodia.

Tapaus on herättänyt huomiota, koska avoimen lähdekoodin työkaluja käytetään laajasti yritysten ohjelmistokehityksessä ja tietoturvassa. Samalla on tärkeää erottaa toisistaan viranomaisten vahvistamat tiedot, ulkopuolisten tutkijoiden havainnot ja väitteet, joita ei ole vielä osoitettu toteen.

Mitä 26. elokuuta tapahtui?

AFP ja Western Australia Police Force tekivät etsintöjä kiinteistöissä Cottesloessa, Hamilton Hillissä ja Mandurahissa. Operaatiota avusti Yhdysvaltain liittovaltion poliisi FBI. Etsintöjen yhteydessä viranomaiset pidättivät 21-vuotiaan Cottesloessa asuvan miehen ja 23-vuotiaan Mandurahissa asuvan miehen sekä takavarikoivat elektronisia laitteita ja muuta aineistoa rikosteknistä tutkimusta varten. 7

Julkisten oikeus- ja uutislähteiden perusteella miehet ovat Ruben Ian Thomson, 21, ja Louis Michael Gaebler, 23. Gaeblerin koko nimi on siis Louis Michael Gaebler, ei pelkästään ”Michael Gaebler”. Heidän oli määrä esiintyä Perthin maistraatintuomioistuimessa 27. elokuuta. AFP:n tiedotteessa ei kerrota, määrättiinkö miehet tutkintavankeuteen vai vapautettiinko heidät takuita vastaan, joten heidän mahdollinen takautensa on toistaiseksi vahvistamatta. 7

Mistä rikoksista miehiä syytetään?

Thomsonia vastaan on nostettu kahdeksan syytettä:

• tietojen hallussapito tietokonerikosta varten, josta enimmäisrangaistus on kolme vuotta vankeutta
• neljä luvatonta tietojen muuttamista koskevaa syytettä, joissa tarkoituksena väitetään olleen vakava rikos; kustakin enimmäisrangaistus on viisi vuotta
• tietojen toimittaminen tietokonerikosta varten, enimmäisrangaistus kolme vuotta
• niin sanotun section 3LA -määräyksen noudattamatta jättäminen, enimmäisrangaistus kymmenen vuotta
• vähintään 100 000 Australian dollarin rikoshyödyllä käyminen, josta enimmäisrangaistus on 20 vuotta. 7

Gaebleria syytetään kuudesta rikoksesta: tietojen hallussapidosta tietokonerikosta varten, neljästä luvattomaan tietojen muuttamiseen liittyvästä teosta sekä tietojen toimittamisesta tietokonerikosta varten. Näissä syytteissä mainitut lakisääteiset enimmäisrangaistukset ovat vastaavasti kolme ja viisi vuotta. 7

Lakisääteinen enimmäisrangaistus ei tarkoita, että kaikki enimmäisrangaistukset laskettaisiin automaattisesti yhteen tai että kumpikaan mies saisi sellaisen tuomion, jos hänet myöhemmin todettaisiin syylliseksi. Molemmat ovat tässä vaiheessa vasta syytettyjä.

Millainen TeamPCP:n väitetty toimintatapa oli?

AFP väittää, että rikollisryhmä lisäsi haitallista koodia avoimen lähdekoodin ohjelmistojen koodivarastoihin. Kun muut kehittäjät käyttivät näitä ohjelmistoja tietämättään, haitallinen koodi saattoi levitä eteenpäin niiden käyttäjien järjestelmiin.

Viranomaisen mukaan kampanja saattoi vaarantaa yli 1 000 organisaatiota eri puolilla maailmaa. AFP arvioi lisäksi, että yli 500 000 tunnistetietoa varastettiin ja vähintään 300 gigatavua dataa vietiin ulos järjestelmistä. Korjaus- ja palautumiskustannusten kerrotaan nousseen satoihin miljooniin dollareihin. Nämä ovat AFP:n esittämiä väitteitä ja arvioita, eivät tuomioistuimen vahvistamia lopputuloksia. 7

Mitä ohjelmistoja ja uhreja tapaukseen liittyy?

Tietoturvaraportoinnissa TeamPCP:hen on yhdistetty ainakin Trivy- ja Checkmarx KICS -tietoturvatyökaluihin sekä LiteLLM-tekoälyyhdyskäytävään kohdistuneita toimitusketjuhyökkäyksiä. Raporteissa mainitaan myös muita mahdollisia kohteita, kuten Mercor ja GitHubiin liittyvä infrastruktuuri. 36

CERT-EU, Euroopan unionin toimielinten tietoturvasta vastaava ryhmä, vahvisti erikseen, että Euroopan komissio ilmoitti merkittävästä pilvipalveluihin liittyneestä tietoturvapoikkeamasta. CERT-EU:n arvion mukaan alkuperäinen pääsy saatiin todennäköisesti Trivyn toimitusketjukompromissin kautta, jonka julkisissa attribuutioissa TeamPCP on mainittu uhkatoimijana. Tämä tekee Euroopan komission tapauksesta vahvemmin dokumentoidun kuin pelkän teoreettisen mahdollisen vaikutuksen. 1

Johtiko Thomson ryhmää nimellä ”Ellis”?

Julkisuudessa on esitetty väitteitä, joiden mukaan Thomson olisi käyttänyt aliasnimeä ”Ellis”, johtanut TeamPCP:tä maaliskuuhun 2026 asti ja ansainnut toiminnalla noin 20 000 dollaria. Käytettävissä olevasta korkean auktoriteetin aineistosta ei kuitenkaan löydy riittävää vahvistusta näille väitteille.

Samoin ei ole varmistettu, toimiko TeamPCP yhden keskeisen johtajan ympärille rakentuneena hierarkiana vai löyhänä vertaisryhmänä. Näitä tietoja tulisi pitää vahvistamattomina, elleivät niitä tue esimerkiksi syyteasiakirjat tai oikeudessa annetut valaehtoiset lausunnot.

Liittyykö tapaukseen Shai-Hulud-haittaohjelma?

Tietoturvatutkijat ovat yhdistäneet TeamPCP:n niin sanottuun ”Mini Shai-Hulud” -leviämisaaltoon. Käytettävissä olevat lähteet eivät kuitenkaan vielä osoita riittävällä varmuudella, että TeamPCP olisi luonut alkuperäisen Shai-Hulud-madon.

Myös väite siitä, että ryhmä olisi lähinnä muokannut nopeasti julkisia hyväksikäyttömenetelmiä ja haittaohjelmaideoita ilman erityisen kehittynyttä teknistä osaamista, on analyytikkojen tulkintaa eikä AFP:n vahvistama havainto. 3

Mitä tutkinnassa tapahtuu seuraavaksi?

AFP kertoo jatkavansa takavarikoitujen laitteiden ja muun aineiston rikosteknistä analyysiä. Poliisi ei ole sulkenut pois uusia pidätyksiä tai lisäsyytteitä. 7

Tällä hetkellä varmistettu kokonaisuus on siis se, että kaksi länsiaustralialaista miestä on pidätetty ja heitä vastaan on nostettu yhteensä 14 syytettä TeamPCP:n väitettyyn toimintaan liittyen. Ryhmän tarkka organisaatio, yksittäisten henkilöiden roolit ja kampanjan lopullinen laajuus voivat selvitä vasta tutkinnan ja mahdollisten oikeuskäsittelyjen edetessä.