--- title: "Australia zatrzymała dwóch podejrzanych o udział w grupie TeamPCP" description: "Australijska policja zatrzymała dwóch mężczyzn podejrzanych o udział w grupie cyberprzestępczej TeamPCP. Organizacja miała wykorzystywać złośliwy kod w popularnych narzędziach open source i atakować firmy na całym świecie." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp/index.md" date_published: "2026-08-28T21:10:33.449Z" date_modified: "2026-08-28T21:10:39.100Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "teampcp" - "cyberataki" - "łańcuch dostaw" - "open-source" - "wycieki danych" source_url: "https://krebsonsecurity.com/2026/08/two-alleged-teampcp-hackers-arrested-in-australia/" source_name: "Krebs on Security" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1787940127493.jpeg" image_alt: "Matrix movie still" image_credit: "© Markus Spiske / Unsplash" image_credit_url: "https://unsplash.com/@markusspiske" --- # Australia zatrzymała dwóch podejrzanych o udział w grupie TeamPCP > Australijska policja zatrzymała dwóch mężczyzn podejrzanych o udział w TeamPCP, grupie oskarżanej o szerokie ataki na oprogramowanie open source. ## Kluczowe informacje - Australijska policja zatrzymała dwóch mężczyzn w wieku 21 i 23 lat. - TeamPCP jest łączona z atakami na łańcuch dostaw oprogramowania i robakiem Shai-Hulud. - Atak na LiteLLM miał ujawnić klucze chmurowe i inne sekrety ponad 2500 organizacji. - Śledczy i analitycy wskazują na sieć współpracujących cyberprzestępców, a nie jedną ściśle zarządzaną grupę. Australijska policja federalna zatrzymała dwóch mężczyzn podejrzanych o udział w TeamPCP, grupie cyberprzestępczej łączonej z serią ataków na łańcuch dostaw oprogramowania. Według australijskich władz zatrzymani, w wieku 21 i 23 lat, pochodzą z Australii Zachodniej i mieli być związani z syndykatem, który tworzył złośliwe wersje narzędzi open source, aby kraść dane i uzyskiwać korzyści kosztem tysięcy firm na całym świecie. Zatrzymania po serii globalnych incydentów Australijska Federalna Policja nie podała nazwisk podejrzanych. W komunikacie opisała sprawę jako działanie wyrafinowanego syndykatu cyberprzestępczego. Władze zarzucają grupie tworzenie złośliwego oprogramowania open source, które mogło być wykorzystywane do kradzieży danych z systemów należących do wielu organizacji. Samo zatrzymanie nie przesądza o winie, a przedstawione informacje opisują podejrzenia i ustalenia śledczych, nie prawomocny wyrok. Zatrzymano dwóch mężczyzn z Australii Zachodniej, w wieku 21 i 23 lat. TeamPCP pojawiła się na scenie cyberprzestępczej pod koniec 2025 roku. Grupie przypisuje się kompromitowanie setek narzędzi open source. W jednym z opisanych incydentów zebrano klucze chmurowe i inne sekrety z systemów ponad 2500 organizacji. Analitycy opisują TeamPCP jako środowisko współpracujących aktorów, a nie jednolitą strukturę z jednym operatorem. Mechanizm działania TeamPCP TeamPCP zaczęła być szerzej kojarzona z atakami pod koniec 2025 roku. Według opisu sprawy grupa umieszczała złośliwy kod w setkach narzędzi open source, a następnie wykorzystywała popularność tych projektów do docierania do kolejnych deweloperów i firm. Celem nie musiała być bezpośrednia infekcja każdego systemu. Wystarczyło przejęcie projektu, konta lub komponentu, któremu ufały inne zespoły programistyczne. Jednym z narzędzi wiązanych z tymi działaniami był Shai-Hulud, samopropagujący robak dodawany do projektów rozwijanych przez deweloperów, których dane logowania do publicznych repozytoriów, takich jak GitHub lub NPM, zostały wyłudzone albo skradzione. Złośliwy kod miał umożliwiać pozyskiwanie kolejnych danych dostępowych, a te mogły później posłużyć do publikowania zmodyfikowanych wersji następnych narzędzi. W ten sposób atak mógł zataczać coraz szerszy krąg. Austin Larsen, główny analityk zagrożeń w Google Threat Intelligence Group, ocenił, że TeamPCP nie przypomina klasycznej, zwartej grupy przestępczej kierowanej przez jednego operatora. Według jego charakterystyki jest to raczej społeczność indywidualnie uzdolnionych aktorów, którzy w określonych sytuacjach współpracują i dążą do podobnych celów. Taki model utrudnia przypisanie wszystkich incydentów jednej strukturze, ale ułatwia wymianę dostępu, narzędzi i doświadczeń. LiteLLM i repozytoria GitHuba na celowniku W marcu TeamPCP przeprowadziła atak na infrastrukturę związaną ze sztuczną inteligencją, kompromitując kod LiteLLM. Jest to projekt open source pełniący funkcję bramy dla aplikacji korzystających z ponad 100 dużych modeli językowych. Analiza firmy CloudSEK wskazała, że w wyniku tego incydentu pozyskano klucze usług chmurowych i inne poufne dane z systemów ponad 2500 organizacji, w tym największych firm technologicznych. W maju TeamPCP przypisała sobie również kompromitację co najmniej 3800 repozytoriów na GitHubie. Według opisu incydentu punktem wyjścia miał być deweloper GitHuba, który zainstalował rozszerzenie zawierające złośliwy kod. Ten przypadek pokazuje, że ryzyko może dotyczyć nie tylko bibliotek używanych bezpośrednio w aplikacji, ale też narzędzi wspierających codzienną pracę programistów. Znaczenie takich ataków wynika z wielokrotnego wykorzystania raz zdobytego dostępu. Złośliwa modyfikacja popularnego pakietu może trafić do wielu odbiorców, a przejęte dane logowania mogą otworzyć drogę do następnych projektów. W efekcie pojedynczy incydent w środowisku deweloperskim staje się problemem dla całego łańcucha zależności, dostawców i organizacji korzystających z danego kodu. Konkurs jako sposób rekrutacji Po opublikowaniu w maju kodu trzeciej wersji Shai-Hulud TeamPCP miała ogłosić konkurs dla innych cyberprzestępców. Nagrodą było 1000 dolarów w kryptowalucie Monero dla uczestnika, który przeprowadzi największą operację na łańcuchu dostaw z wykorzystaniem kodu robaka. Oceniano między innymi liczbę tygodniowych i miesięcznych pobrań zmodyfikowanych pakietów, co kierowało uwagę uczestników na popularne biblioteki. Firma Dataminr uznała konkurs za narzędzie rekrutacyjne oraz sposób pozyskiwania wartościowych dostępów z kampanii prowadzonych przez uczestników. Z przekazanych zasad wynikało, że nagroda miała być jedynie podstawową zachętą, a za szczególnie cenne dostępy obiecywano wyższe wypłaty. Taki model zwiększał skalę zagrożenia, ponieważ pozwalał grupie korzystać z pracy wielu niezależnych operatorów. Publiczne ślady i sieć powiązanych kont W ustaleniu powiązań między poszczególnymi aktorami miały pomóc publiczne profile i kanały komunikacji. Wśród nich znajdował się serwer Matrix nazwany Cybercats, utworzony przez osobę posługującą się pseudonimem kernelstub. Według opisu śledztwa korzystali z niego członkowie TeamPCP oraz osoby kojarzone z innymi grupami zajmującymi się wyłudzaniem danych. Użytkownicy mieli komunikować się tam regularnie, a część publicznych kont na platformie X odnosiła się do rozmów i działań prowadzonych na serwerze. Wśród administratorów i uczestników Cybercats wskazywano między innymi aliasy powiązane z grupami xpl0itrs i Fulcrumsec. Pierwsza z nich była łączona ze sprzedażą danych rzekomo wykradzionych producentom samochodów, a także firmom Snapchat i SportRadar. Fulcrumsec przypisywała sobie ataki wymierzone w Novo Nordisk, LexisNexis oraz Avnet. Nie oznacza to automatycznie, że za wszystkimi tymi zdarzeniami stały te same osoby, ale publiczne powiązania sugerowały współpracę między odrębnymi środowiskami. Raport wskazuje również na konta używane przez osoby przedstawiające się jako rzecznicy TeamPCP. Jedno z nich, posługujące się aliasem pcpcasper, miało być aktywnym uczestnikiem komunikacji grupy, a informacje z publicznych profili wskazywały na związki z Australią Zachodnią. Źródło bliskie śledztwu twierdziło, że użytkownik tego konta był jednym z zatrzymanych. Z kolei wiadomości opublikowane przez konto kernelstub miały wspierać tę wersję, jednak australijska policja nie ujawniła oficjalnie tożsamości podejrzanych. Co sprawa oznacza dla bezpieczeństwa oprogramowania Sprawa TeamPCP pokazuje, że bezpieczeństwo organizacji zależy nie tylko od własnych serwerów i aplikacji. Równie istotne są zewnętrzne biblioteki, rozszerzenia, repozytoria oraz konta osób, które mogą publikować kod wykorzystywany dalej przez setki lub tysiące zespołów. Jeżeli taki element zostanie zmodyfikowany, użytkownicy mogą otrzymać złośliwą wersję w ramach zwykłego procesu aktualizacji albo instalacji narzędzia. Opisane incydenty zwracają uwagę na kilka obszarów obrony. Organizacje powinny wiedzieć, z jakich zależności korzystają, ograniczać zakres uprawnień kont deweloperskich i chronić dane logowania do repozytoriów. Ważne jest też monitorowanie zmian w pakietach, rozszerzeniach i procesach publikowania kodu oraz szybkie unieważnianie kluczy, które mogły zostać ujawnione. Są to ogólne praktyki ograniczające skutki kompromitacji, a nie sposób na odtworzenie technik wykorzystywanych przez napastników. Zatrzymania w Australii są najnowszym etapem sprawy dotyczącej środowiska, którego działania miały obejmować wiele państw i sektorów. Według materiału źródłowego TeamPCP wykorzystywała zarówno ataki na popularne projekty, jak i współpracę z innymi aktorami oraz rekrutację nowych uczestników. Dalsze postępowanie ma wyjaśnić, jaki był zakres odpowiedzialności obu zatrzymanych i które z przypisywanych grupie operacji można powiązać z konkretnymi osobami. ## Wyjaśnienie pojęć ### [model open source](https://najnowsze-informacje.pl/definicje/model-open-source) Model, którego wybrane elementy są udostępnione w sposób pozwalający innym osobom analizować, wykorzystywać lub rozwijać jego działanie. Zakres tej otwartości zależy od konkretnej licencji i udostępnionych składników. ### [Robak komputerowy](https://najnowsze-informacje.pl/definicje/robak-komputerowy) Złośliwe oprogramowanie zdolne do automatycznego rozprzestrzeniania się między systemami lub środowiskami. ## Źródło pierwotne [Krebs on Security](https://krebsonsecurity.com/2026/08/two-alleged-teampcp-hackers-arrested-in-australia/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-08-28T21:10:33.449Z - **Ostatnia aktualizacja:** 2026-08-28T21:10:39.100Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp](https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Australia zatrzymała dwóch podejrzanych o udział w grupie TeamPCP”, 2026-08-28, https://najnowsze-informacje.pl/cyberbezpieczenstwo/australia-zatrzymala-dwoch-podejrzanych-o-udzial-w-grupie-teampcp