Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Australia zatrzymała dwóch podejrzanych o udział w grupie TeamPCP
Australijska policja zatrzymała dwóch mężczyzn w wieku 21 i 23 lat.
TeamPCP jest łączona z atakami na łańcuch dostaw oprogramowania i robakiem Shai-Hulud.
Atak na LiteLLM miał ujawnić klucze chmurowe i inne sekrety ponad 2500 organizacji.
Śledczy i analitycy wskazują na sieć współpracujących cyberprzestępców, a nie jedną ściśle zarządzaną grupę.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Australijska policja federalna zatrzymała dwóch mężczyzn podejrzanych o udział w TeamPCP, grupie cyberprzestępczej łączonej z serią ataków na łańcuch dostaw oprogramowania. Według australijskich władz zatrzymani, w wieku 21 i 23 lat, pochodzą z Australii Zachodniej i mieli być związani z syndykatem, który tworzył złośliwe wersje narzędzi open source, aby kraść dane i uzyskiwać korzyści kosztem tysięcy firm na całym świecie.
Zatrzymania po serii globalnych incydentów
Australijska Federalna Policja nie podała nazwisk podejrzanych. W komunikacie opisała sprawę jako działanie wyrafinowanego syndykatu cyberprzestępczego. Władze zarzucają grupie tworzenie złośliwego oprogramowania open source, które mogło być wykorzystywane do kradzieży danych z systemów należących do wielu organizacji. Samo zatrzymanie nie przesądza o winie, a przedstawione informacje opisują podejrzenia i ustalenia śledczych, nie prawomocny wyrok.
Zatrzymano dwóch mężczyzn z Australii Zachodniej, w wieku 21 i 23 lat.
TeamPCP pojawiła się na scenie cyberprzestępczej pod koniec 2025 roku.
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
TeamPCP zaczęła być szerzej kojarzona z atakami pod koniec 2025 roku. Według opisu sprawy grupa umieszczała złośliwy kod w setkach narzędzi open source, a następnie wykorzystywała popularność tych projektów do docierania do kolejnych deweloperów i firm. Celem nie musiała być bezpośrednia infekcja każdego systemu. Wystarczyło przejęcie projektu, konta lub komponentu, któremu ufały inne zespoły programistyczne.
Jednym z narzędzi wiązanych z tymi działaniami był Shai-Hulud, samopropagujący robak dodawany do projektów rozwijanych przez deweloperów, których dane logowania do publicznych repozytoriów, takich jak GitHub lub NPM, zostały wyłudzone albo skradzione. Złośliwy kod miał umożliwiać pozyskiwanie kolejnych danych dostępowych, a te mogły później posłużyć do publikowania zmodyfikowanych wersji następnych narzędzi. W ten sposób atak mógł zataczać coraz szerszy krąg.
Austin Larsen, główny analityk zagrożeń w Google Threat Intelligence Group, ocenił, że TeamPCP nie przypomina klasycznej, zwartej grupy przestępczej kierowanej przez jednego operatora. Według jego charakterystyki jest to raczej społeczność indywidualnie uzdolnionych aktorów, którzy w określonych sytuacjach współpracują i dążą do podobnych celów. Taki model utrudnia przypisanie wszystkich incydentów jednej strukturze, ale ułatwia wymianę dostępu, narzędzi i doświadczeń.
LiteLLM i repozytoria GitHuba na celowniku
W marcu TeamPCP przeprowadziła atak na infrastrukturę związaną ze sztuczną inteligencją, kompromitując kod LiteLLM. Jest to projekt open source pełniący funkcję bramy dla aplikacji korzystających z ponad 100 dużych modeli językowych. Analiza firmy CloudSEK wskazała, że w wyniku tego incydentu pozyskano klucze usług chmurowych i inne poufne dane z systemów ponad 2500 organizacji, w tym największych firm technologicznych.
W maju TeamPCP przypisała sobie również kompromitację co najmniej 3800 repozytoriów na GitHubie. Według opisu incydentu punktem wyjścia miał być deweloper GitHuba, który zainstalował rozszerzenie zawierające złośliwy kod. Ten przypadek pokazuje, że ryzyko może dotyczyć nie tylko bibliotek używanych bezpośrednio w aplikacji, ale też narzędzi wspierających codzienną pracę programistów.
Znaczenie takich ataków wynika z wielokrotnego wykorzystania raz zdobytego dostępu. Złośliwa modyfikacja popularnego pakietu może trafić do wielu odbiorców, a przejęte dane logowania mogą otworzyć drogę do następnych projektów. W efekcie pojedynczy incydent w środowisku deweloperskim staje się problemem dla całego łańcucha zależności, dostawców i organizacji korzystających z danego kodu.
Konkurs jako sposób rekrutacji
Po opublikowaniu w maju kodu trzeciej wersji Shai-Hulud TeamPCP miała ogłosić konkurs dla innych cyberprzestępców. Nagrodą było 1000 dolarów w kryptowalucie Monero dla uczestnika, który przeprowadzi największą operację na łańcuchu dostaw z wykorzystaniem kodu robaka. Oceniano między innymi liczbę tygodniowych i miesięcznych pobrań zmodyfikowanych pakietów, co kierowało uwagę uczestników na popularne biblioteki.
Firma Dataminr uznała konkurs za narzędzie rekrutacyjne oraz sposób pozyskiwania wartościowych dostępów z kampanii prowadzonych przez uczestników. Z przekazanych zasad wynikało, że nagroda miała być jedynie podstawową zachętą, a za szczególnie cenne dostępy obiecywano wyższe wypłaty. Taki model zwiększał skalę zagrożenia, ponieważ pozwalał grupie korzystać z pracy wielu niezależnych operatorów.
Publiczne ślady i sieć powiązanych kont
W ustaleniu powiązań między poszczególnymi aktorami miały pomóc publiczne profile i kanały komunikacji. Wśród nich znajdował się serwer Matrix nazwany Cybercats, utworzony przez osobę posługującą się pseudonimem kernelstub. Według opisu śledztwa korzystali z niego członkowie TeamPCP oraz osoby kojarzone z innymi grupami zajmującymi się wyłudzaniem danych. Użytkownicy mieli komunikować się tam regularnie, a część publicznych kont na platformie X odnosiła się do rozmów i działań prowadzonych na serwerze.
Wśród administratorów i uczestników Cybercats wskazywano między innymi aliasy powiązane z grupami xpl0itrs i Fulcrumsec. Pierwsza z nich była łączona ze sprzedażą danych rzekomo wykradzionych producentom samochodów, a także firmom Snapchat i SportRadar. Fulcrumsec przypisywała sobie ataki wymierzone w Novo Nordisk, LexisNexis oraz Avnet. Nie oznacza to automatycznie, że za wszystkimi tymi zdarzeniami stały te same osoby, ale publiczne powiązania sugerowały współpracę między odrębnymi środowiskami.
Raport wskazuje również na konta używane przez osoby przedstawiające się jako rzecznicy TeamPCP. Jedno z nich, posługujące się aliasem pcpcasper, miało być aktywnym uczestnikiem komunikacji grupy, a informacje z publicznych profili wskazywały na związki z Australią Zachodnią. Źródło bliskie śledztwu twierdziło, że użytkownik tego konta był jednym z zatrzymanych. Z kolei wiadomości opublikowane przez konto kernelstub miały wspierać tę wersję, jednak australijska policja nie ujawniła oficjalnie tożsamości podejrzanych.
Co sprawa oznacza dla bezpieczeństwa oprogramowania
Sprawa TeamPCP pokazuje, że bezpieczeństwo organizacji zależy nie tylko od własnych serwerów i aplikacji. Równie istotne są zewnętrzne biblioteki, rozszerzenia, repozytoria oraz konta osób, które mogą publikować kod wykorzystywany dalej przez setki lub tysiące zespołów. Jeżeli taki element zostanie zmodyfikowany, użytkownicy mogą otrzymać złośliwą wersję w ramach zwykłego procesu aktualizacji albo instalacji narzędzia.
Opisane incydenty zwracają uwagę na kilka obszarów obrony. Organizacje powinny wiedzieć, z jakich zależności korzystają, ograniczać zakres uprawnień kont deweloperskich i chronić dane logowania do repozytoriów. Ważne jest też monitorowanie zmian w pakietach, rozszerzeniach i procesach publikowania kodu oraz szybkie unieważnianie kluczy, które mogły zostać ujawnione. Są to ogólne praktyki ograniczające skutki kompromitacji, a nie sposób na odtworzenie technik wykorzystywanych przez napastników.
Zatrzymania w Australii są najnowszym etapem sprawy dotyczącej środowiska, którego działania miały obejmować wiele państw i sektorów. Według materiału źródłowego TeamPCP wykorzystywała zarówno ataki na popularne projekty, jak i współpracę z innymi aktorami oraz rekrutację nowych uczestników. Dalsze postępowanie ma wyjaśnić, jaki był zakres odpowiedzialności obu zatrzymanych i które z przypisywanych grupie operacji można powiązać z konkretnymi osobami.
