Två män gripna efter misstänkt global cyberkampanj

Gripandena är bekräftade, liksom åtalen mot de två männen. Däremot är flera mer detaljerade uppgifter om TeamPCP:s ledarskap, alias, inkomster och interna struktur fortfarande obestyrkta. Det handlar om anklagelser – inte fastställda domstolsfakta.

Gripanden och husrannsakningar

Den 26 augusti genomförde Australiens federala polis (AFP) och polisen i Western Australia, med stöd av USA:s federala polis FBI, husrannsakningar på adresser i Cottesloe, Hamilton Hill och Mandurah. En 21-årig man från Cottesloe och en 23-årig man från Mandurah greps.

Polisen beslagtog elektroniska enheter och annat material som nu ska analyseras kriminaltekniskt. AFP har sagt att utredningen fortsätter och att ytterligare gripanden eller åtal inte kan uteslutas. 7

Vilka är de åtalade?

Offentlig rapportering identifierar männen som Ruben Ian Thomson, 21, och Louis Michael Gaebler, 23 – inte enbart ”Michael Gaebler”. De skulle infinna sig i Perth Magistrates Court den 27 augusti. AFP:s offentliga meddelande anger inte vilka beslut som fattades om eventuell borgen, och utgången är därför inte bekräftad i det material som granskats. 7

Vilka brott misstänks Thomson och Gaebler för?

Thomson står inför åtta åtalspunkter:

• innehav av data för ett datorrelaterat brott, med ett lagstadgat maxstraff på tre års fängelse,
• fyra fall av obehörig ändring av data i syfte att begå ett allvarligt brott, med fem års maxstraff för varje punkt,
• leverans av data för ett datorrelaterat brott, med tre års maxstraff,
• underlåtenhet att följa ett föreläggande enligt section 3LA, med tio års maxstraff,
• samt hantering av minst 100 000 australiska dollar i påstådda brottsvinster, med 20 års maxstraff.

Gaebler står inför sex åtalspunkter: innehav av data, fyra påstådda fall av obehörig datamodifiering och leverans av data. För dessa brott anges motsvarande lagstadgade maxstraff på tre respektive fem år. 7

Ett lagstadgat maxstraff innebär inte automatiskt att straffen läggs ihop eller att någon av männen skulle få just det straffet vid en fällande dom.

Vad påstås TeamPCP ha gjort?

AFP hävdar att den påstådda gruppen lade in skadlig kod i programvara i öppna källkodsförråd. När utvecklare sedan använde programvaran utan att känna till manipulationen kunde koden spridas vidare i organisationernas system.

Enligt AFP kan kampanjen ha äventyrat fler än 1 000 organisationer världen över, möjliggjort stöld av över 500 000 inloggningsuppgifter och lett till att minst 300 gigabyte data fördes ut. Myndigheten uppskattar att kostnaderna för att hantera och begränsa skadorna uppgår till hundratals miljoner dollar. 7

Vilka projekt och offer har nämnts?

Oberoende säkerhetsrapporter kopplar TeamPCP till leveranskedjeangrepp mot bland annat säkerhetsverktygen Trivy och Checkmarx KICS samt AI-gatewayen LiteLLM. Även andra mål, däribland Mercor och infrastruktur med koppling till GitHub, har nämnts i rapporteringen. 36

CERT-EU, EU-institutionernas cybersäkerhetsorganisation, har separat bekräftat att EU-kommissionen rapporterade en allvarlig molnincident med koppling till en leveranskedjekompromettering av Trivy. Det gör den kopplingen mer konkret än ett rent spekulativt påstående. 1

Vad är fortfarande obekräftat?

Det finns inte tillräckligt starkt offentligt underlag för att slå fast att Thomson använde aliaset ”Ellis”, att han ledde TeamPCP fram till mars 2026 eller att han personligen tjänade omkring 20 000 dollar.

Det är inte heller klarlagt om TeamPCP fungerade som ett löst nätverk av jämbördiga aktörer eller som en mer hierarkisk organisation med en central ledare. Sådana uppgifter bör betraktas som obekräftad attribution tills de stöds av exempelvis åtalsdokument eller vittnesmål under ed.

Kopplingen till Shai-Hulud

Säkerhetsforskning har kopplat TeamPCP till en spridningsvåg som kallats ”Mini Shai-Hulud”. Det tillgängliga materialet visar dock inte med tillräcklig säkerhet att TeamPCP skapade det ursprungliga Shai-Hulud-maskarprogrammet.

Påståendet att gruppen främst återanvände offentligt kända sårbarheter och skadeprogramsidéer snabbt, snarare än att ha en särskilt avancerad teknisk kapacitet, är dessutom en analytisk bedömning – inte ett konstaterande från AFP. 3

Vad händer nu?

AFP fortsätter att gå igenom den beslagtagna datan. Myndigheten har uttryckligen sagt att fler gripanden och åtal fortfarande är möjliga. Tills domstol har prövat saken gäller presumtionen att de åtalade är oskyldiga.