As autoridades detêm dois alegados membros do prolífico grupo de hackers TeamPCP

As autoridades australianas anunciaram na quarta-feira que detiveram dois homens acusados de participar em crimes cibernéticos em nome do TeamPCP, um grupo prolífico de hackers que, ao longo de nove meses, levou a cabo uma série implacável de ataques à cadeia de abastecimento que afetou mais de 1 000 organizações em todo o mundo.

Num comunicado, a Polícia Federal Australiana afirmou que os dois homens foram detidos e acusados de 14 crimes. O comunicado referiu que os homens eram membros do TeamPCP, que, segundo os cálculos das autoridades, comprometeu mais de 1 000 organizações em todo o mundo. O comunicado não identificou os homens, limitando-se a referir que residiam nas cidades de Cottesloe e Mandurah, na Austrália Ocidental. O KrebsOnSecurity, citando uma longa investigação, revelou os nomes de ambos os arguidos, juntamente com um extenso historial das suas vidas e os erros que levaram à sua queda.

Os ataques que não param

O TeamPCP tem incomodado as autoridades policiais e o pessoal de segurança em todo o mundo desde que surgiu em dezembro. O grupo é mais conhecido por uma série contínua de ataques à cadeia de abastecimento que infiltravam malware em software de código aberto, o qual se propagava automaticamente de um pacote para outro. As infeções virais funcionavam visando os pipelines de CI/CD das organizações, que são utilizados para desenvolver, atualizar e implementar software rapidamente.

Assim que um pacote ou ferramenta era comprometido, o Shai-Hulud, como o worm foi apelidado, anexava-se às futuras atualizações do pacote. Quando os programadores descarregavam os pacotes comprometidos e os executavam através das suas próprias plataformas de CI/CD, o seu software também ficava comprometido.

A chave para a capacidade viral do Shai-Hulud era um componente separado que recolhia credenciais de outros pacotes na memória do hardware infetado. Assim que a TeamPCP obtinha as credenciais, os seus membros utilizavam-nas para infetar esses pacotes.

Num caso, o grupo infetou o scanner de vulnerabilidades Trivy. Conforme noticiado no início deste mês, a infeção passou a afetar pacotes a jusante, incluindo o KICS, o SDK Python da Telnyx e o LiteLLM. Esses pacotes foram infetados depois de os seus programadores terem executado as versões comprometidas do Trivy ou de outro pacote que as contivesse. A infeção inicial do Trivy resultou no roubo de terabytes de credenciais e outros dados privados.

O Shai-Hulud utilizou um método não convencional para garantir que o seu canal de recolha de credenciais fosse imune a intervenções de terceiros. Recorreu a uma forma de contrato inteligente conhecida como «canister» baseado no Internet Computer Protocol. Este mecanismo permite que o worm localize servidores de controlo utilizando URLs que podem ser rapidamente alteradas a qualquer momento. As máquinas infetadas comunicavam com o «canister» uma vez a cada 50 minutos.

Brian Krebs, do KrebsOnSecurity, afirmou que os membros do TeamPCP careciam da disciplina operacional que normalmente acompanha um grupo de hackers com o seu nível de sucesso. Citando o investigador da Aikido Security, Charlie Eriksen, Krebs relatou que, tradicionalmente, os hackers desse nível tinham de dedicar um tempo considerável a pesquisar várias técnicas, a adaptar e a resolver problemas no código, e a construir a infraestrutura necessária para levar a cabo com sucesso tais campanhas. «Os LLMs reduziram significativamente essa lacuna», disse Eriksen a Krebs.

As autoridades australianas afirmam que, se forem condenados, um dos homens enfrenta mais de 20 anos de prisão e o outro, mais de 10.

Dan Goodin Editor Sénior de Segurança Dan Goodin Editor Sénior de Segurança Dan Goodin é Editor Sénior de Segurança na Ars Technica, onde supervisiona a cobertura de malware, espionagem informática, botnets, hacking de hardware, encriptação e palavras-passe. Nos seus tempos livres, gosta de jardinagem, cozinhar e acompanhar a cena musical independente. Dan vive em São Francisco. Siga-o aqui no Mastodon e aqui no Bluesky. Contacte-o no Signal através do nome de utilizador DanArs.82.