Cosa sappiamo sugli arresti dei presunti membri di TeamPCP in Australia

Gli arresti sono confermati, così come i 14 capi d’accusa complessivi. Molti dettagli circolati sul presunto ruolo dei due uomini all’interno di TeamPCP, però, non risultano ancora stabiliti da materiale di autorità di livello sufficiente. Si tratta di accuse, non di accertamenti definitivi di colpevolezza.

Arresti e perquisizioni

Il 26 agosto l’Australian Federal Police (AFP), con la Western Australia Police Force e il supporto dell’FBI, ha arrestato un uomo di 21 anni residente a Cottesloe e uno di 23 anni residente a Mandurah. Gli agenti hanno eseguito mandati di perquisizione in immobili a Cottesloe, Hamilton Hill e Mandurah, sequestrando dispositivi elettronici e altro materiale destinato all’analisi forense. 7

Chi sono gli imputati e cosa è noto sul tribunale

I resoconti pubblici identificano i due uomini come Ruben Ian Thomson, 21 anni, e Louis Michael Gaebler, 23 anni. Il nome riportato nelle fonti non è quindi semplicemente “Michael Gaebler”. I due erano attesi il 27 agosto davanti alla Perth Magistrates Court. Il comunicato dell’AFP esaminato non indica l’esito delle decisioni sulla libertà su cauzione: questo elemento resta pertanto non confermato. 7

Le accuse contestate

Thomson deve rispondere di otto capi d’accusa:

• possesso di dati destinati a un reato informatico, con una pena massima prevista di tre anni;
• quattro accuse di modifica non autorizzata di dati con l’intento di commettere un reato grave, ciascuna con un massimo di cinque anni;
• fornitura di dati destinati a un reato informatico, con un massimo di tre anni;
• mancato rispetto di un ordine emesso ai sensi della sezione 3LA, con un massimo di dieci anni;
• gestione di proventi di reato per almeno 100.000 dollari australiani, con un massimo di vent’anni.

Gaebler deve affrontare sei capi d’accusa: possesso di dati, quattro accuse di modifica non autorizzata dei dati e fornitura di dati destinati a un reato informatico. Per queste contestazioni valgono i massimi di tre e cinque anni indicati sopra. 7

Le pene massime previste dalla legge non sono necessariamente cumulative e non indicano la pena che ciascun imputato riceverebbe in caso di condanna.

Come avrebbe funzionato la campagna attribuita a TeamPCP

Secondo l’AFP, il gruppo avrebbe inserito codice dannoso in software distribuiti tramite repository open source. Gli sviluppatori a valle avrebbero poi utilizzato quei componenti senza sapere che erano stati compromessi.

L’AFP sostiene che l’operazione avrebbe potuto compromettere più di 1.000 organizzazioni nel mondo, consentire il furto di oltre 500.000 credenziali e portare all’esfiltrazione di almeno 300 GB di dati. I costi di bonifica e ripristino sarebbero ammontati a centinaia di milioni di dollari. Si tratta delle stime e delle contestazioni formulate dagli investigatori, non di danni già accertati con una sentenza. 7

I progetti e gli incidenti collegati

Le analisi indipendenti sulla sicurezza informatica hanno collegato a TeamPCP compromissioni nella catena di fornitura di Trivy, Checkmarx KICS e LiteLLM. Sono stati descritti anche altri presunti obiettivi, tra cui Mercor e infrastrutture legate a GitHub. 36

In un caso distinto ma collegato alla stessa campagna, CERT-EU ha confermato che la Commissione europea aveva segnalato un incidente cloud significativo connesso alla compromissione della filiera di Trivy. L’impatto sulla Commissione europea è quindi più di una semplice ipotesi di possibile coinvolgimento. 1

Cosa non è ancora verificato

Non ho trovato prove provenienti da fonti di autorità sufficientemente solide per confermare che Thomson utilizzasse l’alias “Ellis”, che fosse il leader di TeamPCP fino a marzo 2026 o che avesse guadagnato personalmente circa 20.000 dollari.

Resta inoltre non verificata l’idea che il gruppo fosse organizzato come un collettivo tra pari con una sola figura centrale, invece che come una struttura gerarchica. Queste affermazioni dovrebbero essere considerate attribuzioni non confermate finché non emergano, per esempio, dagli atti d’accusa o da deposizioni giurate.

Il collegamento con Shai-Hulud

Le ricerche sulla sicurezza informatica hanno messo in relazione TeamPCP con un’ondata di propagazione chiamata “Mini Shai-Hulud”. Il materiale disponibile, però, non dimostra con un livello di certezza adeguato a una formulazione definitiva che TeamPCP abbia creato il worm Shai-Hulud originale. 3

Anche la descrizione del gruppo come tecnicamente poco sofisticato, capace soprattutto di riutilizzare rapidamente exploit e idee malware già pubbliche, è un’interpretazione analitica e non un accertamento dell’AFP. 3

I prossimi passi

L’AFP ha dichiarato che l’analisi forense dei dati sequestrati è ancora in corso. Le autorità non escludono ulteriori arresti o nuove accuse. 7