.webp){kind=small}
As autoridades australianas prenderam dois homens suspeitos de serem membros do TeamPCP, um prolífico grupo de cibercriminosos e extorsão de dados, acusado de perpetrar a mais longa onda de ataques à cadeia de suprimentos de software da história.
Em um comunicado divulgado hoje, a Polícia Federal Australiana (AFP) informou que dois homens da Austrália Ocidental, de 21 e 23 anos, foram presos em conexão com um "sofisticado sindicato de cibercriminosos que supostamente criou softwares maliciosos de código aberto para roubar milhares de empresas globais".
A AFP não divulgou os nomes dos réus, mas o KrebsOnSecurity descobriu a verdadeira identidade do suspeito de 21 anos em junho e vem se comunicando com ele desde então. Esta reportagem inclui entrevistas com o porta-voz do TeamPCP e examina pistas deixadas pelo líder do grupo que provavelmente levaram à sua prisão.
O TeamPCP surgiu no cenário do cibercrime no final de 2025, inserindo código malicioso em centenas de ferramentas de software de código aberto e extorquindo vítimas para obter lucro. Os membros do grupo ganharam destaque ao comprometer ambientes de nuvem corporativos usando um worm autopropagável chamado Shai-Hulud, que adicionava código malicioso a programas de código aberto mantidos por desenvolvedores cujas credenciais em repositórios de código público como GitHub ou NPM foram obtidas por phishing ou roubadas.
Escrevendo para a Wired, o jornalista Andy Greenberg descreveu a principal tática do TeamPCP como uma espécie de exploração cíclica de desenvolvedores de software.
“Os hackers obtêm acesso a uma rede onde uma ferramenta de código aberto comumente usada por programadores está sendo desenvolvida”, escreveu Greenberg em maio. “Os hackers instalam malware na ferramenta, que acaba nas máquinas de outros desenvolvedores de software, incluindo alguns que estão escrevendo outras ferramentas destinadas a serem usadas por programadores. O malware permite que os hackers do TeamPCP roubem credenciais que lhes permitem publicar versões maliciosas dessas ferramentas de desenvolvimento de software também. O ciclo se repete e a coleção de redes invadidas do TeamPCP cresce.”
O TeamPCP também praticou algo semelhante a recrutamento cíclico. Em maio, o código-fonte da terceira iteração do Shai-Hulud foi publicado online e, logo em seguida, a TeamPCP lançou um concurso oferecendo US$ 1.000 em moeda virtual ao participante que conseguisse realizar a maior operação na cadeia de suprimentos usando o código do worm. De acordo com as regras do concurso, os participantes eram pontuados com base no número de downloads semanais e mensais dos pacotes que comprometiam — incentivando-os diretamente a atacar as bibliotecas de código mais populares.
Uma captura de tela de uma mensagem da conta do Telegram da TeamPCP, anunciando o concurso de invasão da cadeia de suprimentos. Imagem: dataminr.com.
“A TeamPCP afirmou que a competição é uma oportunidade de recrutamento e que pretende comprar todo o acesso significativo obtido nas campanhas dos participantes”, escreveu a empresa de segurança Dataminr. “O prêmio de US$ 1.000 em XMR (Monero) é um valor mínimo para recrutamento e foi descartado pelo grupo como ‘apenas um troféu de participação’, acrescentando ‘se você encontrar algo bom, será muito mais pago’, confirmando a verdadeira função do concurso como identificação de talentos e aquisição de acesso malicioso em larga escala.” Em março, o TeamPCP executou um ataque à cadeia de suprimentos visando a infraestrutura de IA, comprometendo o código do LiteLLM, um gateway de IA de código aberto que conecta usuários a mais de 100 modelos de linguagem diferentes. Uma análise recente da empresa de segurança CloudSEK revelou que o ataque do TeamPCP ao LiteLLM coletou chaves de serviços em nuvem e outros segredos de mais de 2.500 organizações, incluindo muitas das principais empresas de tecnologia do mundo.
Em maio, o TeamPCP reivindicou a autoria do comprometimento de pelo menos 3.800 repositórios de código no GitHub, plataforma pertencente à Microsoft, após um desenvolvedor do GitHub instalar uma extensão de código comprometida pelo malware do TeamPCP.
CONHEÇA OS CYBERCATS
Especialistas em segurança afirmam que o TeamPCP é menos um grupo de hackers e mais uma amálgama de agentes de ameaças de diversas gangues cibercriminosas que, por vezes, trabalham juntas para alcançar objetivos semelhantes.
"Não se trata de uma quadrilha criminosa estruturada com um único operador", disse um especialista.
Austin Larsen, analista principal de ameaças do Grupo de Inteligência de Ameaças do Google, afirmou: "Trata-se de uma comunidade de agentes com habilidades individuais, mas com um centro de gravidade bem definido."
Esse centro de gravidade é George Prepakis, um pesquisador de segurança experiente e autodenominado desenvolvedor de exploits, que opera o perfil @kernelstub no Twitter/X. No início deste ano, @kernelstub publicou um link de convite para um servidor de bate-papo Matrix que ele criou e batizou de "Cybercats". O TeamPCP e diversas outras entidades de cibercrime têm usado esse servidor para se comunicar diariamente nos últimos meses.
Uma captura de tela do servidor de bate-papo Matrix "Cybercats", cujos membros usavam pseudônimos de hackers associados a vários grupos distintos de cibercrime que, ocasionalmente, colaboraram em uma série de ataques à cadeia de suprimentos e de extorsão de dados nos últimos nove meses.
Kernelstub, assim como outros administradores do chat Cybercats, tem usado seu nome de perfil do Twitter/X como seu nome de usuário nessas comunicações do Matrix, frequentemente tuitando referências a outros membros e a conversas que ocorrem no chat Cybercats. Em vários casos, as contas X correspondentes aos membros do chat Cybercats zombaram publicamente das vítimas de crimes cibernéticos antes que os incidentes fossem noticiados pela mídia.
O administrador do Cybercats listado no topo da captura de tela acima — “Boxturtle” — é um associado próximo do TeamPCP que tem tuitado sobre as conquistas do grupo sob o nome @xpl0itrsturtle. Esse nome de usuário corresponde a um corretor de vazamento de dados ativo no Breachforums e no Darkforums, que tem vendido dados roubados em uma onda recente de violações de segurança em fabricantes de automóveis, incluindo BMW Group, Audi, Honda, Mercedes-Benz, Volvo e Toyota, bem como dados supostamente obtidos do Snapchat e do SportRadar.
O site de vazamento de dados do grupo de extorsão ou nome de usuário “xpl0itrs”.
O administrador do Cybercats, "SeesawSec", na captura de tela acima, é o pseudônimo de quem está por trás do grupo de cibercriminosos conhecido como Fulcrumsec, que recentemente reivindicou a autoria de ataques de extorsão de dados contra a gigante farmacêutica Novo Nordisk, a corretora de dados LexisNexis e a Avnet, uma distribuidora de componentes eletrônicos listada na Fortune 500.
O site de vazamento de dados da Fulcrum Security, também conhecida como Fulcrumsec.
