A Polícia Federal Australiana (AFP) acusou dois homens da Austrália Ocidental por um total combinado de 14 crimes relacionados ao suposto envolvimento deles com o TeamPCP, grupo de cibercrime apontado como responsável pela invasão, em março de 2026, dos scanners de segurança open source Trivy e Checkmarx KICS, além do gateway de IA LiteLLM.
Louis Michael Gaebler, de 23 anos, e Ruben Ian Thomson, de 21, compareceram ao Tribunal de Magistrados de Perth em 27 de agosto de 2026, um dia depois de a AFP e a Polícia da Austrália Ocidental (WAPF) cumprirem mandados de busca em imóveis em Cottesloe, Hamilton Hill e Mandurah e apreenderem dispositivos eletrônicos para análise forense.
Segundo a polícia, os dois homens eram participantes centrais da organização criminosa e recebiam pagamentos em criptomoeda, cujo valor ainda está sob investigação.
Em comunicado de 2 de julho, o Federal Bureau of Investigation (FBI) afirmou que as organizações afetadas pela campanha devem tratar os dados e credenciais exfiltrados como um risco persistente, já que os threat actors associados são “provavelmente capazes de transformá-los em arma muito depois da invasão inicial”. O órgão recomendou a rotação de todos os segredos de integração contínua e entrega contínua (CI/CD), além de tokens de publicação e credenciais de cloud que tenham ficado expostos durante as janelas de comprometimento.
O diretor assistente da Divisão de Cibercrime do FBI, Brett E. Leatherman, disse em comunicado conjunto à imprensa que os dois homens seriam membros do TeamPCP, cujo código malicioso “potencialmente comprometeu mais de mil organizações no mundo todo”.
O homem de Cottesloe, de 21 anos, foi acusado de uma contagem de posse de dados com intenção de cometer crime informático, quatro contagens de modificação não autorizada de dados com intenção de cometer um crime grave, uma contagem de fornecimento de dados com intenção de cometer crime informático, uma contagem de descumprimento de uma ordem com base na seção 3LA e uma contagem de participação em bens oriundos de crime no valor de US$ 100.000 ou mais.
O homem de Mandurah, de 23 anos, foi acusado de uma contagem de posse de dados com intenção, quatro contagens de modificação não autorizada de dados com intenção de cometer um crime grave e uma contagem de fornecimento de dados com intenção de cometer crime informático.
A acusação com base na seção 3LA, apresentada sob o Crimes Act 1914 (Cth), prevê pena máxima de 10 anos de prisão, e a acusação relacionada a bens oriundos de crime prevê até 20 anos.
Nenhuma das 14 acusações cita um projeto específico comprometido.
A organização criminosa operava roubando credenciais de publicação de projetos open source confiáveis e distribuindo versões contaminadas pelos próprios canais de lançamento desses projetos. A campanha atingiu cinco ecossistemas de distribuição: GitHub Actions, Docker Hub, npm, PyPI e OpenVSX.
O comprometimento de um projeto fornecia as credenciais usadas contra o seguinte. As credenciais obtidas durante a invasão do scanner Trivy foram usadas dias depois contra as actions do Checkmarx KICS.
O próprio pipeline de build do LiteLLM instalava o Trivy sem fixá-lo a uma versão verificada. O scanner contaminado então capturou o token de publicação do projeto.
O threat actor usou esse token para publicar, no fim de março, as versões do LiteLLM com backdoor. O LiteLLM encaminha solicitações entre provedores de modelos de linguagem de grande porte (LLM) e fica justamente no ponto em que as chaves de provedor de uma organização ficam concentradas.
A AFP afirmou que o código malicioso potencialmente comprometeu mais de 1.000 organizações no mundo, permitiu o roubo de mais de 500.000 credenciais e levou à exfiltração de pelo menos 300 gigabytes de dados. A Unit 42 publicou, em março, os mesmos dois números, com a ressalva de que se tratava do que o agente “poderia ter exfiltrado”.
A CloudSEK e a Hudson Rock divulgaram, em agosto, novos números de exposição para a mesma campanha. A CloudSEK estimou que a exposição reconstruída alcançou mais de 2.500 organizações e cerca de 434.000 pipelines de CI/CD, enquanto a Hudson Rock atribuiu 118.829 dumps de CI runner a 2.488 domínios corporativos, a partir de um arquivo de 153 GB com dados exfiltrados pelos próprios atacantes.
A CloudSEK afirmou que o roubo de credenciais não é prova de comprometimento bem-sucedido de uma empresa e que a contagem confirmada de vítimas são as 16 organizações que o TeamPCP publicou em seu site de vazamentos até o fim de março.
A StepSecurity disse que sua análise do conjunto de dados da CloudSEK mostrou o GitLab na liderança entre as plataformas afetadas, com 1.064 organizações, à frente do GitHub Actions, com 618, Azure DevOps, com 233, Jenkins, com 105, Bitbucket Pipelines, com 94, e CircleCI, com 15.
Um portal de segurança confirmou, por meio do PyPI em 27 de agosto, que as duas versões maliciosas do LiteLLM não aparecem mais no histórico de lançamentos do pacote e que ambas ainda retornam HTTP 200 pela rede de distribuição de conteúdo do PyPI em seus links diretos de pacote, cinco meses após a remoção do índice.
A infraestrutura ligada ao TeamPCP foi rastreada até 2020, informou a Oligo Security em relatório de 5 de agosto, conectando o grupo a atividades anteriormente monitoradas como TA-NATALSTATUS e IronErn por meio de domínios sobrepostos, caminhos de implantação de malware, técnicas de preparação e infraestrutura de backend.
Segundo a Oligo, não é possível determinar com 100% de certeza se essa continuidade reflete uma mudança de marca, um conjunto compartilhado de operadores ou uma colaboração estreita entre agentes historicamente relacionados.
O grupo publicou, em 12 de maio de 2026, o framework de worm usado na campanha Mini Shai-Hulud no GitHub.
Uma nova onda no npm usando o mesmo conjunto de ferramentas contaminou os pacotes keyv e cacheable em 4 de agosto de 2026. A Socket afirmou que os marcadores de autoidentificação que permitiriam vincular a amostra a uma campanha nomeada não foram recuperados.
O comunicado do FBI lista tpcp-docs e docs-tpcp como os nomes de repositório que o worm cria com credenciais roubadas e recomenda que os defensores procurem ambos dentro de suas organizações, além de fixar todos os fluxos de trabalho do GitHub Actions em hashes SHA de commit verificados, em vez de tags de versão variáveis.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...