Die australische Bundespolizei (AFP) hat zwei Männer aus Westaustralien angeklagt, weil sie mutmaßlich eine große Angriffsserie aus dem Umfeld der Cybercrime-Gruppe TeamPCP mitgetragen haben. Im Zentrum stehen sogenannte Supply-Chain-Manipulationen: Zugangsdaten aus vertrauenswürdigen Open-Source-Projekten sollen abgegriffen und anschließend präparierte Versionen über deren eigene Veröffentlichungswege verbreitet worden sein.
Die Vorwürfe beziehen sich auf einen Vorfall im März 2026, bei dem unter anderem die Open-Source-Sicherheits-Scanner Trivy und Checkmarx KICS sowie ein KI-Gateway namens LiteLLM kompromittiert worden sein sollen. Laut Behörden wurde bei Wohnungen in Cottesloe, Hamilton Hill und Mandurah durchsucht und digitale Datenträger zur forensischen Auswertung sichergestellt.
Was den TeamPCP Angriffe so gefährlich machte
Das Muster der mutmaßlichen Tat ist für viele Organisationen besonders problematisch, weil es nicht mit einem klassischen Einbruch startet, sondern mit dem Missbrauch vorhandener Vertrauensbeziehungen. In diesem Fall sollen Angreifer Publishing-Zugangsdaten aus Open-Source-Projekten gestohlen haben. Danach sollen sie die Pakete so präpariert haben, dass sie beim Einsatz in der Lieferkette Schaden anrichten oder Zugangsdaten weiterleiten.
Die Kampagne soll sich über mehrere Verteilungsumgebungen erstreckt haben, darunter GitHub Actions, Docker Hub, npm, PyPI und OpenVSX. Damit traf die Manipulation sehr unterschiedliche technische Pfade in der Software-Entwicklung und im Betrieb.
Ein Kompromiss speiste den nächsten
Ein besonders folgenschwerer Aspekt ist, dass die mutmaßlichen Zugangsdaten offenbar projektübergreifend weitergereicht wurden. So sollen die Zugangsdaten, die während der Kompromittierung von Trivy entwendet wurden, erst Tage später genutzt worden sein, um entsprechende Checkmarx KICS-Abläufe zu kompromittieren.
Für LiteLLM wird in den Vorwürfen zudem beschrieben, dass die eigene Build-Pipeline angeblich Trivy installiert haben soll, ohne es an eine eindeutig geprüfte Version zu binden. Dadurch konnte der präparierte Scanner in die Build-Umgebung gelangen und im nächsten Schritt das Publishing-Token des Projekts übernehmen.
Vorwürfe gegen zwei Angeklagte in Perth
Am 27. August 2026 erschienen Louis Michael Gaebler (23) und Ruben Ian Thomson (21) vor dem Perther Magistrates Court. Die AFP geht davon aus, dass beide als Hauptbeteiligte in der Gruppe agiert hätten.
Außerdem wird berichtet, dass Zahlungen mutmaßlich über verschlüsselten Zahlungsverkehr geleistet worden sein sollen. Der genaue Gegenwert wird derzeit noch untersucht.
Louis Michael Gaebler: mehrere Anklagepunkte
Für den Mann aus Cottesloe (21) nennt die Anklage insgesamt mehrere Punkte: Unter anderem der Vorwurf, Daten mit der Absicht zu besitzen, eine Computerstraftat zu begehen, sowie mehrere Fälle von unbefugter Datenänderung mit entsprechender Absicht. Zusätzlich wird der Vorwurf erhoben, Daten bereitzustellen und gegen eine gerichtliche Anordnung nicht nachzukommen.
Ein weiterer Anklagepunkt betrifft den Umgang mit Erträgen aus Straftaten in Höhe von mindestens 100.000 US-Dollar.
Ruben Ian Thomson: ebenfalls mehrere Vorwürfe
Der Mann aus Mandurah (23) soll ebenfalls wegen Datenbesitzes mit entsprechender Absicht angeklagt worden sein, ebenso wegen mehreren Fällen unbefugter Datenänderungen mit entsprechender Zielsetzung. Darüber hinaus umfasst die Anklage den Vorwurf, Daten bereitzustellen, wiederum mit Bezug auf die Begehung einer Computerstraftat.
Strafrahmen und Umfang der Anklage
Eine Anklage nach einer Bestimmung aus dem Crimes Act 1914 (Cth) kann laut Bericht mit bis zu 10 Jahren Freiheitsstrafe geahndet werden. Für den Anklagepunkt zu den Erträgen aus Straftaten werden sogar bis zu 20 Jahre genannt.
Wichtig: Keine der insgesamt 14 Anklagepunkte nennt dabei ein konkret betroffenes Projekt. Stattdessen richtet sich der Fokus auf die Rolle der Angeklagten im mutmaßlichen Syndikat.
Behörden warnen: gestohlene Daten bleiben ein Risiko
Bereits im Juli 2026 hatte das FBI in einer öffentlichen Mitteilung darauf hingewiesen, dass betroffene Organisationen Exfiltrationsdaten und Zugangsdaten als anhaltendes Risiko betrachten sollten. Die Begründung: Zugehörige Akteure könnten die Informationen noch lange nach der ersten Kompromittierung zweckentfremden.
In der Mitteilung wird zudem empfohlen, sämtliche CI/CD- und Continuous-Delivery-Secrets zu rotieren. Ebenso sollten Publishing- und sonstige Zugriffstokens sowie Cloud-Zugänge neu ausgestellt werden, sofern sie in den Zeitfenstern erreichbar waren, in denen die Manipulationen stattgefunden haben.
Konkrete Hinweise für die technische Abwehr
Die Warnung geht über generelle Ratschläge hinaus. In der Advisery wird außerdem empfohlen, GitHub-Abläufe nicht auf „floating“ Version Tags zu verlassen, sondern Workflows auf geprüfte Commit-SHA-Werte festzunageln. Damit soll verhindert werden, dass später erneut manipulierte Artefakte in Automationsprozesse einsickern.
Für die Suche im eigenen Umfeld werden Repository-Namen genannt, die der Wurm bei seiner Erstellung angeblich verwendet. Verteidiger sollen die eigenen Umgebungen auf das Vorhandensein dieser Strukturen prüfen.
Wie die mutmaßlichen TeamPCP Angriffe im Release-Prozess funktionierten
Die AFP beschreibt als Kernmechanismus, dass gestohlene Publishing-Credentials aus vertrauenswürdigen Projekten ausgenutzt wurden, um präparierte Versionen über genau die Release-Kanäle zu veröffentlichen, denen Nutzer normalerweise vertrauen. Dadurch landet die Schadfunktion nicht in „inoffiziellen“ Quellen, sondern in regulären Paketverzeichnissen und Registries.
Für LiteLLM wird zusätzlich dargestellt, dass das Projekt Anfragen über große Sprachmodell-Anbieter verteilt. Wo die Anbieter-Keys in einer Organisation gebündelt sind, soll LiteLLM damit besonders in der Lage gewesen sein, in den Zusammenfluss von Zugriffsdaten hineinzuwirken.
Auswirkungen: große Zahl an Credentials und Datenmenge
Die AFP äußert, dass das Schadcode-Umfeld möglicherweise mehr als 1.000 Organisationen weltweit betroffen haben könnte. Gleichzeitig sollen mehr als 500.000 Zugangsdaten gestohlen worden sein, und mindestens 300 Gigabyte an Daten exfiltriert worden sein.
Andere Veröffentlichungen im Umfeld der gleichen Kampagne nannten ähnliche Kennzahlen, bezeichneten sie jedoch teils als mögliche Exfiltration. CloudSEK beispielsweise sprach von einer Rekonstruktion, die auf mehr als 2.500 Organisationen und grob 434.000 CI/CD-Pipelines hindeutet. Hudson Rock nennt zudem Zahlen zu CI-Runner-Dumps und zu Unternehmensdomänen, basierend auf einem Archiv mit exfiltrierten Daten der Angreifer.
Warum die Opferzahl schwer zu bestätigen ist
CloudSEK stellte dabei klar, dass reines Credential-Stealing nicht automatisch beweist, dass eine Organisation tatsächlich vollständig kompromittiert wurde. Bestätigte Opferzahlen lägen laut den TeamPCP-Veröffentlichungen zum späteren Zeitpunkt zunächst bei einer wesentlich kleineren Zahl.
Auch der Versuch, betroffene Plattformen zuzuordnen, basiert auf Analysen und Datensätzen, die nicht immer vollständige Klarheit über die tatsächliche Aktivierung im jeweiligen Zielsystem liefern.
Auswirkungen auf Paketarchive: manipulierte LiteLLM-Builds entfernt
Am 27. August 2026 wurde laut Bericht über die Paketplattform PyPI geprüft, dass zwei als bösartig eingestufte LiteLLM-Builds nicht mehr in der Release-Historie sichtbar sind. Dennoch sollen die Pakete über ihre direkten Content-Delivery-URLs weiterhin HTTP 200 ausgeliefert haben, selbst fünf Monate nach dem Entfernen aus dem Index.
Diese Beobachtung unterstreicht, dass Entfernen aus einer Listenansicht allein nicht immer sofort bedeutet, dass Artefakte überall und zu jeder Zeit verschwinden. Für Incident-Responder ist das ein Hinweis, die gesamte Lieferkette inklusive Caches und Abrufpfade mitzudenken.
Hintergrund: Rückverfolgung bis 2020 und technische Kontinuität
Eine separate Sicherheitsanalyse führte Infrastruktur und Muster auf frühe Aktivitäten zurück. Laut Bericht habe eine Untersuchung den Ursprung der zugeordneten Infrastruktur bis ins Jahr 2020 verfolgt.
Dabei soll die Gruppe Verbindungen zu früher beobachteten Aktivitäten aufweisen, unter anderem über Überschneidungen bei Domains, Deployment-Pfaden, Staging-Methoden und Backend-Infrastruktur. Ob es sich dabei um ein Rebranding, ein gemeinsames Operator-Set oder enge Zusammenarbeit handelt, lasse sich laut der Analyse jedoch nicht mit vollständiger Sicherheit bestimmen.
Außerdem wird erwähnt, dass ein Wurm-Framework im Kontext einer anderen Kampagne vom Umfeld der Gruppe als Open-Source-Projekt bereitgestellt wurde.
Was Organisationen jetzt tun sollten
Die TeamPCP Angriffe zeigen, wie wichtig es ist, Lieferketten-Sicherheit als dauerhaften Prozess zu betrachten. Weil Zugangsdaten und Tokens in Automationen und Paketpipelines stecken, wirkt ein einzelner Angriff schnell auf viele Systeme gleichzeitig.
Praktisch sollten Organisationen daher insbesondere auf folgende Punkte achten: Rotieren und Erneuern von CI/CD-Secrets, Tokens und Cloud-Zugangsdaten; Absichern von Workflow-Quellen durch feste Commit-Referenzen statt flexibler Tags; sowie systematische Suche nach den in der Advisery genannten Indikatoren innerhalb der eigenen Repositories und Build-Umgebungen.
Zusätzlich lohnt sich eine Abwägung, inwieweit gelieferte Artefakte nach Entfernung aus Indizes noch über Abrufpfade nutzbar sind. Gerade bei Paket- und CDN-Strukturen kann es Zeit brauchen, bis alle Verbreitungswege konsistent „sauber“ sind.
Fazit
Mit den Anklagen in Australien rückt ein mutmaßliches Lieferketten-Szenario stärker in den Fokus: Die TeamPCP Angriffe sollen Open-Source-Ökosysteme als Verteilungshebel missbraucht haben, indem gestohlene Publishing-Credentials genutzt wurden, um präparierte Builds über bestehende Release-Kanäle auszurollen. Für Betroffene bleibt die Lage trotz potenzieller Entfernungen aus Paketindizes ernst, weil Zugangsdaten und Datenabflüsse als anhaltendes Risiko gelten.
Wer CI/CD-Umgebungen betreibt, sollte die empfohlenen Schritte zeitnah umsetzen und die eigenen Automationen konsequent gegen erneute Manipulation absichern.
Quelle: https://thehackernews.com/2026/08/alleged-teampcp-hackers-charged-in.html
