Uma investigação internacional sobre uma das campanhas mais preocupantes de ataques à cadeia de suprimentos de software de 2026 avançou com a identificação de dois supostos integrantes do TeamPCP. A Polícia Federal Australiana (AFP) acusou dois homens da Austrália Ocidental de participação no grupo cibercriminoso associado a ataques contra ferramentas de código aberto amplamente utilizadas por desenvolvedores e empresas.
Os suspeitos, Louis Michael Gaebler, de 23 anos, e Ruben Ian Thomson, de 21, compareceram ao Tribunal de Magistrados de Perth em 27 de agosto. Juntos, eles respondem a 14 acusações relacionadas, entre outros pontos, à posse e modificação não autorizada de dados e ao fornecimento de informações para a prática de crimes cibernéticos.
A operação envolveu cooperação da AFP com a Polícia da Austrália Ocidental e o FBI dos Estados Unidos. Mandados de busca foram executados em imóveis de Cottesloe, Hamilton Hill e Mandurah, onde dispositivos eletrônicos foram apreendidos e encaminhados para análise forense.
Ataques atingiram ferramentas usadas para proteger sistemas
O que torna o caso particularmente relevante é a estratégia atribuída ao TeamPCP.
Em vez de tentar invadir individualmente centenas de empresas, os criminosos teriam atacado componentes confiáveis da cadeia de desenvolvimento de software. Ao comprometer uma ferramenta utilizada por muitas organizações, códigos maliciosos podem alcançar automaticamente um número muito maior de vítimas.
Entre os projetos associados à campanha estão o Trivy, ferramenta de análise de vulnerabilidades mantida pela Aqua Security; o KICS, da Checkmarx; e o LiteLLM, utilizado para conectar aplicações a diferentes modelos e provedores de inteligência artificial.
A campanha envolvendo o Trivy ganhou destaque em março de 2026. Posteriormente, credenciais obtidas nesse comprometimento teriam sido utilizadas contra ações do Checkmarx KICS no GitHub.
Esse encadeamento demonstra um dos maiores riscos dos ataques modernos à cadeia de software: uma invasão pode fornecer as credenciais necessárias para realizar a próxima.
LiteLLM colocou credenciais de IA na mira
O comprometimento do LiteLLM tornou a campanha ainda mais preocupante.
A ferramenta funciona como uma camada intermediária capaz de encaminhar solicitações para diferentes provedores de grandes modelos de linguagem. Isso significa que ambientes que utilizam LiteLLM podem concentrar credenciais e chaves de acesso relacionadas a diferentes plataformas de IA.
Segundo a investigação técnica descrita pelo The Hacker News, o pipeline de construção do LiteLLM instalou uma versão comprometida do Trivy. O código malicioso conseguiu então obter um token de publicação do projeto, que posteriormente teria sido utilizado para distribuir versões adulteradas do LiteLLM.
O incidente mostra como um ataque contra uma ferramenta aparentemente distante da aplicação final pode percorrer diferentes etapas de uma cadeia de desenvolvimento.
Em ambientes modernos, scanners de segurança, GitHub Actions, bibliotecas, imagens Docker e pacotes de software possuem permissões suficientes para acessar credenciais extremamente sensíveis.
Ataques passaram por cinco ecossistemas
A campanha atribuída ao TeamPCP não ficou restrita a apenas um repositório.
As atividades investigadas passaram por GitHub Actions, Docker Hub, npm, PyPI e OpenVSX, demonstrando uma estratégia direcionada justamente aos canais utilizados para distribuir software e automatizar processos de desenvolvimento.
Isso amplia significativamente o risco.
Quando uma empresa instala um pacote diretamente de um repositório reconhecido ou utiliza uma ação publicada por um fornecedor confiável, existe uma expectativa de que aquele componente seja legítimo.
Os ataques à cadeia de suprimentos exploram exatamente essa relação de confiança.
O criminoso não precisa convencer cada desenvolvedor a baixar um malware. Ele tenta colocar o malware dentro do processo que o desenvolvedor já considera confiável.
Mais de mil organizações podem ter sido afetadas
O FBI afirmou que os códigos maliciosos relacionados ao TeamPCP podem ter comprometido mais de mil organizações mundialmente.
Relatórios de segurança baseados nas informações das autoridades indicam ainda que a campanha pode ter resultado no roubo de mais de 500 mil credenciais, além da extração de centenas de gigabytes de informações.
Esses números ajudam a dimensionar por que ataques desse tipo representam uma preocupação crescente para empresas.
Uma credencial obtida durante uma invasão pode continuar válida mesmo meses depois do incidente inicial.
É justamente por isso que o FBI alertou organizações potencialmente atingidas para tratar credenciais e dados expostos como um risco persistente.
FBI recomenda rotação de credenciais
Uma das principais recomendações das autoridades é substituir todos os segredos que poderiam ter ficado acessíveis durante o período de comprometimento.
Isso inclui especialmente segredos utilizados em pipelines CI/CD, tokens de publicação e credenciais de serviços de nuvem.
A medida é importante porque remover uma versão maliciosa de um pacote não resolve necessariamente todo o problema.
Imagine que um malware consiga roubar uma chave utilizada para publicar novos pacotes.
Mesmo depois de remover o malware, aquela chave continuará funcionando até ser revogada.
O atacante poderá então utilizá-la novamente — ou vendê-la para outros criminosos.
Por isso, em ataques à cadeia de software, a resposta precisa incluir não apenas a remoção do código comprometido, mas também uma revisão completa das credenciais que ficaram acessíveis durante a invasão.
TeamPCP teria usado credenciais de um ataque para realizar outro
A sequência observada pelos pesquisadores é especialmente relevante.
Após o comprometimento do Trivy, credenciais obtidas naquele ambiente teriam sido utilizadas dias depois para atacar workflows associados ao Checkmarx KICS.
Pesquisadores identificaram um credential stealer semelhante ao utilizado anteriormente no ataque contra o Trivy.
Posteriormente, a campanha avançou para outros projetos.
Em março, versões maliciosas do pacote Python da Telnyx também foram publicadas no PyPI. O código malicioso chegou a esconder funções destinadas ao roubo de credenciais dentro de um arquivo de áudio .WAV.
Em maio, outro episódio relacionado ao TeamPCP atingiu um plugin Jenkins da Checkmarx, reforçando as suspeitas de que credenciais anteriores não haviam sido completamente substituídas ou de que os atacantes conseguiram manter algum tipo de acesso.
Suspeitos teriam recebido pagamentos em criptomoedas
A polícia australiana afirma que os dois homens acusados eram participantes importantes do grupo e teriam recebido pagamentos em criptomoedas.
O valor dessas transações continua sendo investigado.
O homem de 21 anos responde a oito acusações, incluindo posse de dados com intenção de cometer crime informático, quatro acusações relacionadas à modificação não autorizada de dados e uma acusação relacionada a recursos provenientes de atividade criminosa de valor igual ou superior a 100 mil dólares australianos.
O suspeito de 23 anos recebeu outras seis acusações.
Uma das acusações mais graves do processo pode resultar em pena máxima de até 20 anos de prisão, caso haja condenação.
As acusações ainda precisam ser analisadas pela Justiça, portanto os investigados devem ser tratados como suspeitos até eventual condenação.
Prisões não significam que o risco terminou
A ação policial representa um avanço importante, mas não encerra automaticamente o problema provocado pela campanha.
Credenciais roubadas podem ter sido copiadas, revendidas ou compartilhadas antes das prisões. Diferentemente de um servidor controlado pelos criminosos, uma senha ou chave de API copiada não pode simplesmente ser “recuperada”.
Ela precisa ser revogada.
Essa característica explica o alerta do FBI para que empresas afetadas continuem tratando as informações expostas como um risco de longo prazo.
As autoridades também não descartaram novos desdobramentos. Equipamentos apreendidos ainda passam por análise forense, e investigações sobre outros participantes podem continuar.
Caso evidencia fragilidade da cadeia de software
O episódio TeamPCP mostra como a segurança corporativa deixou de depender exclusivamente dos sistemas que uma organização controla diretamente.
Uma empresa pode proteger servidores, computadores e contas internas e ainda assim ser comprometida por uma biblioteca, plugin ou ferramenta utilizada dentro do processo de desenvolvimento.
Essa situação é ainda mais crítica em ambientes de DevOps e inteligência artificial, nos quais ferramentas automatizadas frequentemente possuem acesso simultâneo a repositórios, infraestrutura em nuvem, tokens, modelos de IA e sistemas de produção.
O comprometimento de apenas um desses componentes pode criar um efeito cascata.
O caso envolvendo Trivy, KICS e LiteLLM é justamente um exemplo desse cenário: uma ferramenta confiável comprometida pode abrir caminho para atacar outra ferramenta confiável, ampliando progressivamente o número de organizações expostas.
Para empresas que utilizam componentes de código aberto, a principal lição permanece a mesma: não basta confiar no nome do fornecedor ou no repositório de onde um pacote foi baixado.
Controle de versões, validação de integridade, redução dos privilégios de pipelines, monitoramento de dependências e principalmente a rápida rotação de credenciais após um incidente tornaram-se partes fundamentais da defesa contra ataques à cadeia de suprimentos.
