Dos presuntos miembros de TeamPCP detenidos en Australia

La Policía Federal Australiana (AFP) ha detenido a dos hombres, de 21 y 23 años, en el oeste del país, acusados de pertenecer a TeamPCP, el grupo de ciberdelincuencia detrás de la mayor serie de ataques a la cadena de suministro de software de la historia. Según el comunicado oficial, la organización habría creado software malicioso de código abierto para robar datos a miles de empresas en todo el mundo. Los detenidos no han sido identificados públicamente, pero fuentes cercanas a la investigación apuntan a que uno de ellos es el portavoz autoproclamado del grupo, que operaba en la red bajo el alias @pcpcats.

TeamPCP saltó a la fama a finales de 2025 al colocar código malicioso en cientos de herramientas de código abierto y extorsionar a las víctimas. Su método consistía en comprometer entornos cloud mediante un gusano llamado Shai-Hulud, que se propagaba a través de credenciales robadas de desarrolladores en plataformas como GitHub o NPM. El periodista Andy Greenberg, de Wired, describió la táctica como una explotación cíclica: los hackers infectaban una herramienta de desarrollo, el malware saltaba a las máquinas de otros desarrolladores, y con las credenciales robadas comprometían más herramientas, repitiendo el ciclo.

El grupo también usaba la contratación cíclica. Tras publicar el código de Shai-Hulud, lanzaron un concurso que ofrecía 1.000 dólares en Monero al que lograra la mayor operación de cadena de suministro. Según la firma de seguridad Dataminr, el concurso era en realidad una forma de reclutar talento y comprar accesos a redes comprometidas. En marzo, atacaron LiteLLM, una puerta de enlace de IA, robando claves de servicios cloud a más de 2.500 organizaciones, incluidos gigantes tecnológicos. En mayo, reclamaron haber comprometido 3.800 repositorios en GitHub.

Investigación y pistas

Los investigadores creen que TeamPCP no es un grupo estructurado, sino una comunidad de actores con un líder claro. Ese líder sería George Prepakis, conocido como @kernelstub en X, quien creó un servidor de chat Matrix llamado 'Cybercats' donde se comunicaban varios grupos criminales. Entre los administradores estaban 'Boxturtle' (@xpl0itrsturtle), vinculado a filtraciones de datos de fabricantes de automóviles, y 'SeesawSec', asociado al grupo Fulcrumsec. También figuraba @pcpcasper, un usuario con conexiones con un grupo neonazi australiano, que según fuentes sería uno de los detenidos.

El portavoz @pcpcats usaba múltiples alias en foros, como EllisD25, BulkDMT o Express. Las investigaciones rastrearon sus cuentas hasta una dirección IP en Perth, Australia, asociada a la familia Thomson. Registros de dominios y perfiles en redes sociales identificaron a Joshua Thomson, de 23 años, residente en Cottesloe, como uno de los sospechosos. Su hermano Ruben, su padre Ian y su madre Cindy aparecen en los registros. La familia es originaria de Sudáfrica, lo que coincide con los indicios de que el líder del grupo operaba desde ese país.

Implicaciones

El arresto de estos dos individuos podría desmantelar una parte importante de la infraestructura de TeamPCP, aunque el grupo ha demostrado ser resiliente. Queda por ver si las autoridades logran identificar y capturar a todos los miembros, y si las empresas afectadas podrán recuperar los datos robados. La investigación sigue abierta y se esperan más detenciones.