Es ist selten, dass eine Supply-Chain-Kampagne ein Gesicht bekommt. Diesmal schon: Die australische Bundespolizei AFP hat gemeinsam mit dem FBI und der Polizei von Westaustralien zwei Männer festgenommen, die zur Gruppe TeamPCP gehören sollen — jener Bande, die monatelang Schadcode in quelloffene Software geschleust hat.
DIE FESTNAHMEN
Zugegriffen wurde am 26. August. Festgenommen wurden ein 21-Jähriger aus Cottesloe und ein 23-Jähriger aus Mandurah. Am 27. August standen beide vor dem Magistrates Court in Perth.
Der 21-Jährige ist mit acht Anklagepunkten konfrontiert, darunter Besitz und Weitergabe von Daten zur Begehung von Computerdelikten, unbefugte Datenänderung und Umgang mit Erträgen aus Straftaten im Wert von mehr als 100.000 Dollar. Die Höchststrafen reichen von drei bis 20 Jahren Haft. Gegen den 23-Jährigen liegen sechs Anklagepunkte mit bis zu fünf Jahren Höchststrafe vor.
DIE BILANZ: Zahlen, die man sich merkt
Die AFP-Schätzung zur Kampagne liest sich brutal:
- mehr als 1.000 betroffene Organisationen weltweit — aus Verwaltung, Wissenschaft und Privatwirtschaft
- über 500.000 gestohlene Zugangsdaten
- mindestens 300 Gigabyte abgeflossene Daten
- weltweite Aufräumkosten im dreistelligen Millionenbereich
Die Ermittlungen begannen im April 2026, nachdem mehrere Bedrohungsanalyse-Firmen auf ein Netzwerk hingewiesen hatten, das Schadcode in ein Open-Source-Repository eingeschleust hatte. Entwickler zogen den Code arglos in ihre eigenen Projekte — und trugen ihn damit weiter.
WIE DIE KETTE FUNKTIONIERTE
Besonders lehrreich ist der Dominoeffekt, der im März 2026 die Sicherheitswerkzeuge selbst erwischte. Zugangsdaten aus der Kompromittierung des Schwachstellen-Scanners Trivy (Aqua) wurden Tage später gegen die Actions von Checkmarx KICS eingesetzt. Das KI-Gateway LiteLLM wiederum installierte Trivy in der eigenen Build-Pipeline, ohne die Version festzunageln. Der vergiftete Scanner griff sich daraufhin das Veröffentlichungs-Token des Projekts — und mit dem schob die Gruppe manipulierte LiteLLM-Versionen nach.
Ein Scanner, der Sicherheit prüfen soll, wurde zum Einbruchswerkzeug. Weil eine einzige Zeile keine feste Version enthielt.
Weitere Ziele auf der Liste: GitHub, Telnyx, TanStack, MistralAI und Red Hat. Als Werkzeug diente ein selbstverbreitender Wurm, den die Gruppe Mini Shai-Hulud nannte.
EINE KLARSTELLUNG, DIE WICHTIG IST
Aikido-Forscher Charlie Eriksen betont ausdrücklich, dass TeamPCP nicht hinter dem ursprünglichen Shai-Hulud-Wurm vom Sommer 2025 steckt, der damals über 180 npm-Pakete erwischte. Die Gruppe hat den Wurm nachgebaut — und wurde in der Berichterstattung anschließend regelmäßig mit dem Original verwechselt. Wer hinter den ersten Angriffen stand, ist bis heute unbekannt.
Eriksens Einschätzung zur Gruppe ist bemerkenswert nüchtern: kein Staatsakteur, keine klassische Cybercrime-Organisation, keine reine Ideologie. „They were also not especially sophisticated“, schreibt er. Gefährlich gemacht habe sie etwas anderes — die Fähigkeit, öffentlich verfügbare Exploits und Techniken sehr schnell in einsatzfähige Angriffe zu übersetzen.
WAS DU KONKRET TUN SOLLTEST
Auch im kleinen Homelab hängen heute Dutzende fremder Pakete in Docker-Images und CI-Läufen. Drei Punkte, die wirklich helfen:
- Versionen pinnen. Kein
latest, keine offenen Versionsbereiche in Build-Pipelines. Genau daran ist LiteLLM gescheitert. - Tokens rotieren und eng schneiden. Ein Publish-Token, das nur ein Paket veröffentlichen darf, richtet weniger Schaden an als eines mit Vollzugriff.
- Postinstall-Skripte einschränken. Bei npm etwa mit
--ignore-scriptsin automatisierten Läufen. Genau dort setzten die Dropper an.
FAZIT
Zwei Festnahmen sind kein Schlussstrich — die AFP schließt weitere Zugriffe ausdrücklich nicht aus, große Datenmengen werden noch ausgewertet. Aber es ist ein seltener Fall, in dem eine Supply-Chain-Kampagne nicht einfach im Nebel verschwindet.