澳大利亚警方逮捕两名涉嫌 TeamPCP 成员：指控、搜查与未证实说法

这起逮捕行动确认了什么？

澳大利亚联邦警察（AFP）表示，2026年8月26日，AFP、西澳警察部队在美国联邦调查局（FBI）协助下，对西澳大利亚州科特斯洛、汉密尔顿山和曼哲拉的多处房产执行搜查令，并逮捕两名男子。警方扣押了电子设备及其他材料，后续将进行取证分析。7

公开报道将两人确认为21岁的 Ruben Ian Thomson 和23岁的 Louis Michael Gaebler。需要注意的是，Gaebler的完整姓名是 Louis Michael Gaebler，而不只是“Michael Gaebler”。两人于8月27日出庭于珀斯地方法院。AFP公告没有说明保释结果，因此目前无法确认两人是否获准保释或具体保释条件。67

这些内容涉及的是警方指控，并非法院已经作出的有罪判决。在案件审理结束前，两人依法应被视为无罪。

两人面临哪些指控？

Thomson面临8项指控，包括：

• 持有用于实施计算机犯罪的数据，最高刑罚为3年监禁；
• 4项意图实施严重犯罪而未经授权修改数据的指控，每项法定最高刑罚为5年监禁；
• 提供用于实施计算机犯罪的数据，最高刑罚为3年监禁；
• 未遵守第3LA条命令，最高刑罚为10年监禁；
• 处理涉嫌金额至少为10万澳元的犯罪所得，最高刑罚为20年监禁。7

Gaebler面临6项指控，包括持有用于计算机犯罪的数据、4项未经授权修改数据的指控，以及提供用于计算机犯罪的数据。相关罪名的法定最高刑罚分别为3年或5年。7

法定最高刑罚并不意味着这些刑期会自动相加，也不代表如果被定罪，两人最终一定会被判处最高刑罚。实际刑罚将取决于具体罪名、证据、认罪情况及法院裁量。

TeamPCP被指控采用了什么方式？

AFP称，相关网络犯罪团伙将恶意代码植入开源软件仓库，之后由下游开发者在不知情的情况下使用这些软件。由于开源组件往往会被大量企业和开发团队纳入软件构建、测试或部署流程，这类供应链攻击可能让恶意代码随着正常软件更新扩散到更多环境。

警方称，这一行动可能导致全球超过1000家机构遭到入侵，窃取超过50万份凭据，并外传至少300 GB数据；由此产生的修复和应对成本据称达到数亿美元规模。7

这些数字来自警方对案件规模的描述，最终仍需结合取证结果和法庭证据加以核实。

哪些项目或机构受到牵连？

独立安全研究和行业报道将 TeamPCP 与 Trivy、Checkmarx KICS 和 LiteLLM 等项目的供应链入侵联系起来；部分报道还提到 Mercor 以及与 GitHub 相关的基础设施。36

其中，欧盟网络安全机构 CERT-EU 另行确认，欧盟委员会曾报告一起与 Trivy 供应链入侵有关的重大云安全事件。CERT-EU评估认为，初始入侵很可能通过与 TeamPCP 相关的 Trivy 供应链遭到利用，因此这并不只是尚未落地的潜在影响说法。1

“Ellis”、领导者身份和2万美元获利是否已证实？

目前掌握的AFP公告及其他较高权威材料，尚不足以确认以下说法：

• Thomson使用过“Ellis”这一化名；
• Thomson一直担任 TeamPCP 领导者，直至2026年3月；
• Thomson个人从相关活动中获利约2万美元；
• TeamPCP是由一名核心人物领导的层级组织，或恰恰是一个成员地位相对平等的松散团体。

这些说法在正式起诉文件、宣誓证词或法庭审理中得到支持前，都应视为未经证实的归因，而不是已经确认的案件事实。

TeamPCP是否制造了 Shai-Hulud？

安全研究将 TeamPCP 与被称为“Mini Shai-Hulud”的传播活动联系起来。3不过，目前可见材料不足以支持一个更确定的结论，即 TeamPCP 制造了最初的 Shai-Hulud 蠕虫。

同样，“该团伙主要依靠快速改造公开漏洞利用工具和恶意软件思路、技术能力并不突出”等判断，属于安全分析人士的评论，并非AFP已经明确认定的事实。

接下来会发生什么？

AFP表示，对扣押设备和数据的取证工作仍在继续，并明确表示不排除进一步逮捕或追加指控的可能。7因此，目前最稳妥的结论是：两名男子的被捕和所面临的指控已经得到确认，但有关团伙内部角色、化名、收入和技术能力的更多细节，仍需等待调查和法院程序进一步厘清。