PERTH / LONDON (IT BOLTWISE) – Die australische Bundespolizei hat zwei Männer aus Westaustralien wegen mutmaßlicher Beteiligung an Supply-Chain-Angriffen auf Open-Source-Scanner und eine KI-Gateway-Software angeklagt. Die Ermittler ordnen die Kampagne dem TeamPCP-Cyberkriminellenkreis zu und verknüpfen sie mit einem Kompromiss von Trivy, Checkmarx KICS und LiteLLM im März 2026. Laut Angaben der Polizei sollen gestohlene Publishing-Zugangsdaten aus dem einen Projekt genutzt worden sein, um die nächsten Veröffentlichungskanäle zu vergiften. Im Raum stehen zudem manipulierte Builds, die über verschiedene Ökosysteme wie GitHub Actions und Docker Hub verteilt wurden.
Die Meldung der Australian Federal Police (AFP) rückt weniger die „zerstörerische“ KI-Software selbst in den Fokus, sondern die Werkbank darunter: eine Toolchain, die Build-, Release- und Verteilungsprozesse in einer einzigen Kette zusammenführt. Den Angaben zufolge sollen zwei Beschuldigte, Louis Michael Gaebler (23) und Ruben Ian Thomson (21), als zentrale Teilnehmer eines mutmaßlichen Syndikats namens TeamPCP agiert haben. Die Anklage steht im Umfeld einer Serie von Kompromittierungen, die laut Ermittlern im März 2026 die Open-Source-Security-Scanner Trivy und Checkmarx KICS sowie das KI-Gateway LiteLLM betrafen. Entscheidend ist dabei die Art, wie Zugangsdaten weitergereicht werden: Der kompromittierte Veröffentlichungskanal eines Projekts soll unmittelbar die nächsten Stationen der Lieferkette ermöglicht haben.
Am 27. August 2026 sollen die beiden Männer vor dem Perth Magistrates Court erscheinen; einen Tag zuvor hatte die AFP zusammen mit der Western Australia Police Force (WAPF) Durchsuchungsbeschlüsse vollzogen und dabei in Cottesloe, Hamilton Hill und Mandurah elektronische Datenträger beschlagnahmt. Laut AFP-Bericht sollen die Beschuldigten als principal participants agiert haben und Zahlungen in Kryptowährung erhalten haben; der konkrete Wert werde noch untersucht. Besonders technisch ist die in der Anklage und in den nachgelagerten Hinweisen beschriebene Operationslogik: Die Gruppe soll aus vertrauenswürdigen Open-Source-Projekten Publishing-Credentials entwendet und anschließend „poisoned“ Versionen über die eigenen Release-Kanäle veröffentlicht haben. Genau diese Kettenlogik erklärt auch, warum in der Praxis nicht nur ein einzelnes Repository „bereinigt“ werden muss, sondern ganze Release-Lanes inklusive Secrets, Token und Workflows.
Die AFP beschreibt die Kampagne über fünf Distribution-Ökosysteme hinweg: GitHub Actions, Docker Hub, npm, PyPI und OpenVSX. Laut den Angaben soll ein Startpunkt in der Trivy-Komponente die nächsten Schritte im Checkmarx-KICS-Umfeld nachgezogen haben: Credentials, die während des Trivy-Kompromisses abgezogen worden sein sollen, seien Tage später für KICS-Aktionen genutzt worden. Beim LiteLLM-Teil kommt ein zusätzlicher Schwachpunkt hinzu, der aus der Perspektive von CI/CD-Engineering besonders vertraut wirkt: Der Build-Pipeline-Mechanismus des Projekts habe Trivy ohne Pinning auf eine verifizierte Version installiert, also ohne die Deterministik, die man im Supply-Chain-Kontext als Schutzschicht erwartet. Der „poisoned“ Scanner soll dann den Publishing-Token des Projekts gezogen haben; mit diesem Token sollen backdoored LiteLLM-Releases in der zweiten Märzhälfte veröffentlicht worden sein. Da LiteLLM Requests zwischen großen LLM-Anbietern routet und an der Stelle sitzt, an der Provider-Keys konsolidiert werden, trifft ein Kompromiss hier nicht nur auf Build-Zeiten, sondern potenziell auf produktive Zugriffswege.
Dass solche Angriffe Folgen bis weit nach dem ersten Ereignis haben, spiegelt auch eine frühere Warnung wider, die das US-amerikanische Federal Bureau of Investigation (FBI) am 2. Juli in einem Advisory veröffentlicht hat. Darin wird betroffenen Organisationen empfohlen, exfiltrierte Daten und Credentials als dauerhaftes Risiko zu behandeln, weil zugehörige Threat Actoren die Informationen „wahrscheinlich“ lange nach dem ersten Einbruch missbrauchen könnten. Das FBI nennt zudem konkrete Abhilfeschritte für Teams mit CI/CD-Setups: Continuous-Integration- und Continuous-Delivery-Secrets rotieren, Publishing-Tokens erneuern und cloudbezogene Credentials ersetzen, die während der Expositionsfenster verfügbar waren. Zusätzlich heißt es, Arbeitsabläufe und Zugänge seien nicht nur auf das Release-Team beschränkt, sondern müssten in der Engineering-Praxis auch die Pipeline- und Runner-Ebene einschließen.
Die Anklage listet insgesamt 14 Vorwürfe, nennt aber nach Angaben der AFP keine konkreten kompromittierten Projekte in der Anklageschrift selbst. Für Gaebler soll es unter anderem um den Besitz von Daten mit dem Vorsatz einer Computerstraftat, mehrere Fälle unautorisierter Datenänderungen mit Vorsatz auf „serious offence“, das Liefern von Daten mit vergleichbarem Vorsatz sowie um das Nichtbefolgen einer Section-3LA-Anordnung gehen; außerdem wird ein Vorwurf zum Umgang mit Erlösen aus Crime in Höhe von 100.000 australischen Dollar oder mehr genannt. Für Thomson nennt die AFP ein ähnliches Raster: Besitz von Daten mit Vorsatz, mehrere unautorisierte Datenänderungen und das Liefern von Daten. Juristisch relevant ist der Rahmen: Die Section-3LA-Zählung nach dem Crimes Act 1914 (Cth) trägt laut Quelle ein Maximum von 10 Jahren Freiheitsstrafe, die Vorwürfe zu den Erlösen aus Crime ein Maximum von 20 Jahren. Solche Strafrahmen sind für Entscheider wichtig, weil sie ein Signal für die erwartete Gefährlichkeit der Tattypen senden.
Technisch wird die Breite des möglichen Schadens durch mehrere Auswertungen untermauert, die sich in den Größenordnungen unterscheiden, aber das gemeinsame Motiv teilen: Credential-Diebstahl plus Exfiltration über mehrere Plattformen. Laut AFP sollen der Code potenziell mehr als 1.000 Organisationen weltweit kompromittiert haben, mehr als 500.000 Credentials ermöglicht und mindestens 300 Gigabyte Daten exfiltriert haben. Andere öffentliche Auswertungen führen zu vorsichtigeren Formulierungen: Unit 42 nannte im März die Zahlen „mehr als 500.000 Credentials“ und „mindestens 300 Gigabyte“, jedoch als Annahmen dazu, was der Angreifer möglicherweise exfiltriert habe. CloudSEK und Hudson Rock stellten im August weitere Rekonstruktionen bereit, unter anderem mit einer Rekonstruktion von mehr als 2.500 Organisationen und rund 434.000 CI/CD-Pipelines bei CloudSEK sowie mit Zuordnungen von 118.829 CI-Runner-Dumps zu 2.488 Corporate Domains auf Basis eines 153-GB-Archivs bei Hudson Rock. Gleichzeitig betont CloudSEK, Credential Diebstahl belege nicht zwingend einen erfolgreichen Systemkompromiss; als „confirmed“ werden in deren Kontext nur die 16 Opferorganisationen genannt, die TeamPCP bis Ende März auf seiner Leak-Site veröffentlicht habe.
Auch die Handhabung im Paket-Ökosystem ist ein Indikator für die operative Wirkung. Laut einer Überprüfung am 27. August sollen die beiden bösartigen LiteLLM-Builds zwar aus dem Release-Verlauf von PyPI verschwunden sein, gleichzeitig aber über direkte Package-URLs weiterhin HTTP 200 über das Content-Delivery-Netzwerk liefern. Parallel verweist die Quelle auf weitere Spuren: Ein Bericht von Oligo Security vom 5. August ordnet die Infrastruktur bis auf 2020 zurück und verknüpft TeamPCP mit zuvor beobachteten Aktivitäten, die unter Namen wie TA-NATALSTATUS und IronErn geführt worden seien. Ob das auf ein Rebranding, einen geteilten Operator-Set oder enge Zusammenarbeit hinweise, lasse sich laut Oligo nicht mit 100-prozentiger Sicherheit bestimmen. Außerdem habe die Gruppe das Worm-Framework, das im „Mini Shai-Hulud“-Kontext genutzt worden sei, am 12. Mai 2026 als Open-Source auf GitHub gestellt; eine neue Welle über npm am 4. August 2026 soll mit demselben Toolkit Pakete wie „keyv“ und „cacheable“ vergiftet haben. Für die Verteidigung empfiehlt das FBI im Advisory, nach bestimmten Repository-Namen (tpcp-docs und docs-tpcp) zu suchen und GitHub-Actions-Workflows auf verifizierte Commit-SHA-Hashes zu pinnen statt auf „floating version tags“ zu setzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AFP erhebt Anklage: TeamPCP soll Toolchain von Trivy, KICS und LiteLLM kompromittiert haben" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AFP erhebt Anklage: TeamPCP soll Toolchain von Trivy, KICS und LiteLLM kompromittiert haben" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AFP erhebt Anklage: TeamPCP soll Toolchain von Trivy, KICS und LiteLLM kompromittiert haben« bei Google Deutschland suchen, bei Bing oder Google News!