澳大利亚警方指控两人涉 TeamPCP 凭据窃取案

澳大利亚警方指控两名与 TeamPCP 相关的男子，该组织在开源代码中隐藏恶意软件，从 1,000 多个组织窃取了超过 50 万条凭据。
澳大利亚警方已指控两名来自西澳大利亚的男子，涉及一项全球网络犯罪行动，该行动据称在开源软件中隐藏恶意代码，并利用其从数千个组织窃取数据。
"在澳大利亚联邦警察（AFP）与西澳大利亚警察部队（WAPF）联合调查，并与联邦调查局（FBI）平行合作后，两名西澳大利亚男子被起诉，调查针对的是一个复杂的网络犯罪集团，该集团据称创建了恶意开源软件以窃取全球数千家企业的数据。"AFP 表示。"AFP 昨天（2026 年 8 月 26 日）在与 WAPF 在珀斯执行搜查令并在 FBI 协助下，对这两人提起了合计 14 项罪名的指控。"
澳大利亚联邦警察、西澳大利亚警察部队和 FBI 于 2026 年 8 月 26 日在珀斯执行了搜查令，逮捕了一名来自科茨洛的 21 岁男子和一名来自曼杜拉的 23 岁男子。他们面临合计 14 项指控，涵盖未经授权的数据修改、持有和提供用于计算机犯罪的数据，以及处理犯罪所得。
警方称，这两人是一个名为 TeamPCP 的集团的主要参与者，该集团据称将恶意代码插入托管在公共仓库中的软件，然后让其他开发者在不知情的情况下将其拉取。受感染的组件最终进入了政府、学术界和私营部门的系统，为该集团提供了一种大规模窃取凭据和其他敏感材料的方式。
"平行调查于 2026 年 4 月开始，此前 AFP 和 FBI 收到了多家网络威胁评估公司关于一个集团的信息，该集团据称将恶意代码插入开源仓库中可用的软件，然后被其他开发者无意中使用。"AFP 继续说道。"警方将指控，受感染的软件随后被分发到政府、学术界和私营部门其他组织的计算机系统中。该软件据称使该集团能够渗透这些组织，窃取或收集敏感数据，包括用户凭据和认证材料。"
这些数字并不小。调查人员估计，恶意代码可能危及全球超过 1,000 个组织，使超过 50 万条凭据被盗，并至少外泄了 300 GB 数据。迄今为止的修复成本已达数亿美元。
TeamPCP 是多次供应链攻击的幕后黑手，过去他们曾针对 PyPI 包和 NPM 仓库，最近的"Mini Shai-Hulud"活动还波及了两名 OpenAI 员工。其模式是一致的：瞄准开发者信任的工具，污染供应链，让下游损害成倍扩大。
已确认被修改的工具清单包括：Trivy（广泛使用的容器漏洞扫描器）、KICS（基础设施即代码静态分析工具）、LiteLLM（用于跨 AI 模型 API 路由请求的流行库）以及 Telnyx Python SDK。
这些并非小众工具。它们通常被集成到企业 CI/CD 流水线、云基础设施工作流和安全扫描流程中。攻击它们意味着通过一次被投毒的更新同时打击大量组织。
该集团还部署了四个不同的恶意软件家族。CanisterWorm 收集 AWS、GCP 和 Azure 的云访问令牌、凭据和 API 密钥。SANDCLOCK 提取 AWS 凭据、Kubernetes ServiceAccount 令牌、本地环境变量和加密货币钱包数据。Mini Shai-Hulud 是一种自我复制蠕虫，旨在跨 npm 和 PyPI 注册表传播。Miasma 是 Mini Shai-Hulud 的一个变种，在跨相同的开源注册表传播的同时，收集凭据并污染配置文件。
蠕虫组件是最值得关注的部分。Mini Shai-Hulud 及其 Miasma 变种不仅感染初始目标后就停止。它们自主地跨开源包注册表传播，在传播过程中收集凭据并污染配置文件。FBI 确认了两个用于外泄的 GitHub 仓库名称：tpcp-docs 和 docs-tpcp。如果您的 GitHub 组织中出现了这两个仓库名称中的任何一个，说明该蠕虫使用被盗凭据创建了它。
TeamPCP 的方法直接而有效：将恶意代码注入合法软件包，通过正常分发渠道推送被木马化的版本，然后等待 CI/CD 流水线自动拉取它们。被修改的工具安装了窃取凭据的恶意软件和持久后门，而没有任何可见的迹象表明发生了改变。
"这些人据称是网络犯罪组织 TeamPCP 的成员，其恶意代码可能危及全球超过一千个组织，"助理局长 Leatherman 表示。
"我们很自豪能与澳大利亚联邦警察和西澳大利亚警察部队合作，对犯罪行为人施加代价，并应对日益增长的软件供应链攻击威胁。"
这些指控显示了该行动有多严重。21 岁男子面临多项指控，包括未经授权更改数据、持有和提供用于计算机犯罪的数据、不遵守生产令，以及处理至少 10 万澳元的犯罪所得。23 岁男子面临类似的黑客指控，最高刑罚从三年到二十年不等。
警方从科茨洛、汉密尔顿山和曼杜拉的房产中查获了电子设备和其他物品。调查人员目前正在检查大量数据，并未排除进一步逮捕或指控的可能性。