Dois suspeitos ligados ao grupo TeamPCP foram detidos na Austrália

A polícia federal australiana (Australian Federal Police, AFP) anunciou a prisão de dois homens, com 21 e 23 anos, acusados de pertencer ao grupo de cibercrime TeamPCP, responsável por uma das campanhas mais longas de ataques à cadeia de suprimentos de software em história. Segundo a AFP, os detidos, both residentes na Austrália Ocidental, seriam parte de uma ‘sindicato de cibercrime sofisticado’ que supostamente criou softwares de código aberto maliciosos para roubar dados de milhares de empresas globais.

O grupo TeamPCP emergiu na cena do cibercrime no final de 2025, utilizando uma estratégia de ciclo contínuo de exploração. Segundo o jornalista Andy Greenberg, da revista Wired, os hackeros do TeamPCP invadem redes onde ferramentas de código aberto são desenvolvidas, implantam malware que é posteriormente baixado por outros desenvolvedores, roubam credenciais e repetem o processo para ampliar seu alcance. Essa tática, descrita como ‘cíclica’, permitiu ao grupo comprometer sistemas de empresas tecnológicas de alto nível.

“TeamPCP não é um grupo organizado tradicional, mas uma comunidade de atores individuais com habilidades distintas”, afirma Austin Larsen, analista-chefe da Google Threat Intelligence Group.

O núcleo do grupo está centrado em George Prepakis, pesquisador de segurança conhecido como @kernelstub no Twitter/X. Ele administra um servidor Matrix chamado ‘Cybercats’, usado por membros de várias facções criminosas para comunicação diária. Entre eles, o pseudônimo ‘Boxturtle’ (ou @xpl0itrsturtle) está vinculado a um corretor de vazamentos que comercializa dados roubados de montadoras como BMW, Audi e Toyota, além de plataformas como Snapchat e SportRadar.

Contestação de hackeria e ataques a infraestrutura de IA

Em março, o TeamPCP atacou o LiteLLM, uma ponte de código aberto para modelos de linguagem de IA. Análise da equipe de segurança CloudSEK revelou que o grupo obteve mais de 2.500 chaves de serviços em nuvem de organizações incluindo empresas de tecnologia líderes. Em maio, o grupo reivindicou a comprometimento de 3.800 repositórios no GitHub, após um desenvolvedor instalar uma extensão contaminada.

O TeamPCP também lançou uma competição em maio, oferecendo 1.000 XMR (Monero) como prêmio para o participante que conseguisse comprometer a maior quantidade de pacotes de código. Segundo a empresa de segurança Dataminr, o incentivo visava recrutamento e aquisição de acesso a redes, com o prêmio sendo apenas um “pisote de participação”, reforçando que a ameaça verdadeira era a identificação de talentos maliciosos.

  • Shai-Hulud: Worm auto-propulsado usado para implantar malware em ferramentas de código aberto.
  • Cybercats: Servidor Matrix usado para comunicação entre grupos criminosos.
  • George Prepakis (@kernelstub): Líder do TeamPCP e administrador do Cybercats.

A prisão dos dois suspeitos, cuja identidade não foi revelada oficialmente, encerra uma fase de investigação que incluiu conversas diretas entre o jornalista Brian Krebs (KrebsOnSecurity) e o suspeito de 21 anos desde junho. As pistas deixadas por Prepakis em redes sociais e chats foram fundamentais para a identificação dos envolvidos.

Recrutamento via concursos e expansão de ataques

O método de recrutamento do TeamPCP envolve desafios públicos. Em maio, o grupo publicou o código do terceiro Shai-Hulud e organizou um concurso, premiando os participantes com base no número de downloads de pacotes comprometidos. Esse modelo incentiva o ataque a bibliotecas populares, maximizando o impacto dos ataques.

Segundo a Dataminr, o concurso refletia a verdadeira motivação do grupo: “a competição é uma oportunidade de recrutamento, e o grupo pretende adquirir todos os acessos valiosos obtidos pelos participantes”. O prêmio de 1.000 XMR, embora pequeno, servia como um “chão de recrutamento”, enquanto os maiores talentos eram oferecidos contratos mais lucrativos.

As investigações também revelaram a complexidade da estrutura do TeamPCP, que atua como uma rede de comunicação entre grupos criminosos. Além de Prepakis e Boxturtle, o pseudônimo ‘SeesawSec’ administra o Cybercats e comanda o grupo Fulcrumsec, outro coletivo de extorsão de dados.

Com informações de: Krebs on Security