Aresztowania w Australii w sprawie TeamPCP: potwierdzone fakty i niezweryfikowane doniesienia

Co wydarzyło się 26 sierpnia?

Australijska Federalna Policja (AFP), policja Australii Zachodniej oraz amerykańskie FBI przeprowadziły operację w Perth i okolicach. Funkcjonariusze wykonali nakazy przeszukania w Cottesloe, Hamilton Hill i Mandurah, a następnie zatrzymali 21-letniego mieszkańca Cottesloe oraz 23-letniego mieszkańca Mandurah. Zabezpieczono urządzenia elektroniczne i inne materiały, które mają zostać poddane analizie kryminalistycznej. 7

Publiczne doniesienia identyfikują zatrzymanych jako Rubena Iana Thomsona (21 lat) i Louisa Michaela Gaeblera (23 lata). Warto to doprecyzować, ponieważ w części opisów pojawia się skrócona forma „Michael Gaebler”. Obaj mieli stawić się 27 sierpnia przed Perth Magistrates Court, czyli sądem magistrackim rozpatrującym m.in. sprawy karne niższego szczebla. AFP nie podała w przywołanym komunikacie decyzji w sprawie kaucji, dlatego ich status w tym zakresie pozostaje niepotwierdzony. 7

Jakie zarzuty usłyszeli?

Thomsonowi postawiono osiem zarzutów:

• posiadania danych przeznaczonych do wykorzystania przy przestępstwie komputerowym — maksymalna kara ustawowa to trzy lata pozbawienia wolności;
• czterech zarzutów nieuprawnionej modyfikacji danych w zamiarze popełnienia poważnego przestępstwa — po pięć lat za każdy zarzut;
• dostarczania danych przeznaczonych do wykorzystania przy przestępstwie komputerowym — do trzech lat;
• niewykonania nakazu wydanego na podstawie art. 3LA — do 10 lat;
• obrotu co najmniej 100 000 dolarów australijskich w domniemanych dochodach z przestępstwa — do 20 lat. 7

Gaeblerowi postawiono sześć zarzutów: posiadania danych, czterech przypadków domniemanej nieuprawnionej modyfikacji danych oraz dostarczania danych do popełnienia przestępstwa. W tych przypadkach wskazane maksymalne kary ustawowe wynoszą odpowiednio trzy i pięć lat. 7

Podane maksima nie oznaczają automatycznie, że kary się zsumują ani że którykolwiek z mężczyzn otrzyma taką karę w razie skazania. Na tym etapie są to zarzuty, a nie ustalenia winy.

Na czym miała polegać kampania TeamPCP?

Według AFP grupa miała umieszczać złośliwy kod w oprogramowaniu publikowanym w otwartych repozytoriach. Programiści i firmy korzystający z tych narzędzi mogli następnie pobierać skażone wersje bez świadomości zagrożenia. Taki atak wykorzystuje zaufanie do dostawcy lub projektu i jest określany jako kompromitacja łańcucha dostaw oprogramowania.

Australijska policja twierdzi, że kampania mogła narazić ponad 1000 organizacji na całym świecie, umożliwić kradzież ponad 500 000 danych uwierzytelniających oraz wyprowadzenie co najmniej 300 GB danych. Według AFP koszty usuwania skutków incydentów sięgają setek milionów dolarów. Są to szacunki i twierdzenia organów ścigania przedstawione na etapie zarzutów. 7

Niezależne analizy bezpieczeństwa przypisują TeamPCP ataki na projekty Trivy, Checkmarx KICS i LiteLLM. W doniesieniach wymieniano również inne potencjalne cele, w tym Mercor oraz infrastrukturę powiązaną z GitHubem. 36

Jednocześnie CERT-EU, unijna organizacja zajmująca się reagowaniem na incydenty cyberbezpieczeństwa, potwierdziła, że Komisja Europejska zgłosiła poważny incydent w chmurze powiązany z kompromitacją łańcucha dostaw Trivy. Oznacza to, że wpływ tej kampanii nie jest wyłącznie hipotetycznym scenariuszem. 1

Co pozostaje niepotwierdzone?

W publicznie dostępnych materiałach brakuje wystarczająco mocnych dowodów, by przedstawiać jako fakt twierdzenia, że Thomson posługiwał się pseudonimem „Ellis”, kierował TeamPCP do marca 2026 roku albo osobiście zarobił około 20 000 dolarów. Nie zostało też wiarygodnie ustalone, czy grupa działała jako luźna sieć równorzędnych uczestników, czy jako struktura z jednym centralnym przywódcą.

Badacze bezpieczeństwa łączą TeamPCP z falą propagacji określaną jako „Mini Shai-Hulud”. Dostępne materiały nie pozwalają jednak stwierdzić z odpowiednią pewnością, że grupa stworzyła pierwotnego robaka Shai-Hulud. Podobnie oceny, według których jej członkowie przede wszystkim szybko przerabiali publicznie dostępne exploity i pomysły na złośliwe oprogramowanie, są analizą badaczy, a nie ustaleniem AFP. 3

Co dalej?

AFP kontynuuje analizę zabezpieczonych urządzeń i danych. Policja nie wyklucza kolejnych zatrzymań ani dodatkowych zarzutów. 7 Do czasu zakończenia postępowania sądowego wszystkie twierdzenia dotyczące roli Thomsona i Gaeblera w TeamPCP należy traktować jako zarzuty, nie jako prawomocnie potwierdzone fakty.