Kes TeamPCP: Dua lelaki Australia didakwa dalam serangan rantaian bekalan perisian

Apa yang berlaku pada 26 Ogos?

AFP, Polis Australia Barat dan Biro Siasatan Persekutuan Amerika Syarikat (FBI) menahan dua lelaki Australia Barat selepas melaksanakan waran geledah di hartanah di Cottesloe, Hamilton Hill dan Mandurah. Pegawai merampas peranti elektronik serta bahan lain untuk pemeriksaan forensik. 7

Laporan awam mengenal pasti mereka sebagai Ruben Ian Thomson, 21, dari Cottesloe, dan Louis Michael Gaebler, 23, dari Mandurah. Nama kedua lebih tepat disebut sebagai Louis Michael Gaebler, bukannya “Michael Gaebler” secara berasingan. Kedua-duanya dijadualkan hadir di Mahkamah Majistret Perth pada 27 Ogos. AFP tidak menyatakan keputusan mengenai jaminan, maka status jaminan mereka belum dapat disahkan berdasarkan bahan yang tersedia. 7

Pertuduhan yang dihadapi

Thomson berdepan lapan pertuduhan:

• memiliki data untuk melakukan kesalahan komputer — hukuman maksimum tiga tahun penjara;
• empat pertuduhan pengubahsuaian data tanpa kebenaran dengan niat melakukan kesalahan serius — maksimum lima tahun bagi setiap pertuduhan;
• membekalkan data untuk melakukan kesalahan komputer — maksimum tiga tahun;
• gagal mematuhi perintah di bawah seksyen 3LA — maksimum 10 tahun; dan
• berurusan dengan hasil jenayah yang didakwa berjumlah sekurang-kurangnya A$100,000 — maksimum 20 tahun.

Gaebler pula menghadapi enam pertuduhan, termasuk memiliki data, empat pertuduhan pengubahsuaian data tanpa kebenaran dan membekalkan data. Pertuduhan itu membawa hukuman maksimum tiga dan lima tahun seperti yang berkaitan. 7

Hukuman maksimum berkanun tidak semestinya dijumlahkan secara automatik dan bukan gambaran hukuman yang akan diterima oleh mana-mana tertuduh sekiranya disabitkan. Kedua-duanya masih dianggap tidak bersalah sehingga dibuktikan bersalah di mahkamah.

Apakah dakwaan terhadap TeamPCP?

AFP mendakwa sindiket itu menyuntik kod berniat jahat ke dalam perisian repositori sumber terbuka. Perisian tersebut kemudiannya digunakan oleh pembangun lain tanpa menyedari bahawa ia telah diubah suai. Menurut AFP, kempen itu berpotensi menjejaskan lebih 1,000 organisasi di seluruh dunia, membolehkan pencurian lebih 500,000 kelayakan dan pengeluaran sekurang-kurangnya 300 GB data. Kos pemulihan pula didakwa mencecah ratusan juta dolar. 7

Serangan sedemikian dikenali sebagai serangan rantaian bekalan perisian: penyerang menyasarkan alat atau pakej yang dipercayai, kemudian menggunakan kedudukannya untuk mencapai organisasi yang menggunakannya.

Projek dan mangsa yang dinamakan

Laporan keselamatan siber bebas mengaitkan TeamPCP dengan kompromi terhadap beberapa projek, termasuk pengimbas keselamatan sumber terbuka Trivy, Checkmarx KICS dan get laluan AI LiteLLM. Laporan lain turut menyebut Mercor serta infrastruktur yang berkaitan dengan GitHub sebagai sasaran yang didakwa. 36

Dalam perkembangan berasingan, CERT-EU mengesahkan bahawa Suruhanjaya Eropah melaporkan insiden awan yang ketara dan menilai dengan keyakinan tinggi bahawa akses awal diperoleh melalui kompromi rantaian bekalan Trivy yang dikaitkan secara awam dengan TeamPCP. Ini bermakna kesan terhadap Suruhanjaya Eropah bukan sekadar kemungkinan spekulatif. 1

Apa yang masih belum disahkan?

Bahan berautoriti tinggi yang tersedia setakat ini tidak mencukupi untuk mengesahkan beberapa dakwaan lebih terperinci, antaranya bahawa:

• Thomson menggunakan nama samaran “Ellis”;
• beliau mengetuai TeamPCP sehingga Mac 2026;
• beliau memperoleh kira-kira AS$20,000; atau
• kumpulan itu beroperasi sebagai kolektif rakan sebaya dengan seorang tokoh pusat, bukannya struktur hierarki.

Dakwaan tersebut wajar dianggap sebagai atribusi yang belum disahkan sehingga disokong oleh dokumen pertuduhan, keterangan bersumpah atau bukti mahkamah.

Penyelidikan keselamatan turut mengaitkan TeamPCP dengan gelombang penyebaran yang digelar “Mini Shai-Hulud”. Namun, bahan yang ada belum membuktikan pada tahap yang membolehkan kenyataan muktamad bahawa TeamPCP mencipta cecacing Shai-Hulud asal. Begitu juga, dakwaan bahawa kumpulan itu sekadar menggunakan semula eksploit dan idea perisian hasad yang tersedia kepada umum merupakan ulasan analisis, bukan penemuan rasmi AFP. 3

Apa yang berlaku seterusnya?

AFP berkata pemeriksaan forensik terhadap data dan peranti yang dirampas masih diteruskan. Agensi itu juga belum menolak kemungkinan tangkapan atau pertuduhan tambahan. 7

Buat masa ini, perkara yang dapat disahkan ialah penahanan dan pertuduhan terhadap Thomson serta Gaebler. Dakwaan mengenai peranan mereka dalam TeamPCP, kepimpinan kumpulan dan skala tanggungjawab individu masih perlu diuji melalui proses mahkamah.