Die Erkenntnisse, in denen die hinter den Decknamen stehenden Personen namentlich genannt und die Infrastruktur sowie die Opfer erfasst wurden, wurden im März und April 2026 an die australische Bundespolizei (AFP), die Polizei von Westaustralien (WAPF) und das Federal Bureau of Investigation (FBI) weitergeleitet.
TEL AVIV, Israel, 27. August 2026. Das Cyber Intelligence Center von KELA hat heute seine Ergebnisseveröffentlicht, die zuvor bereits an Strafverfolgungsbehörden, darunter AFP, WAPF und das FBI, weitergeleitet worden waren.
Im März 2026 informierte KELA die führenden Strafverfolgungs- und Bundesbehörden und legte detaillierte Berichte vor, die die Identitäten mutmaßlicher TeamPCP-Mitglieder enthüllten und deren Infrastruktur sowie Opfer aufdeckten. Die Unterstützung bei den Ermittlungen und der Austausch von Erkenntnissen wurden während der gesamten Operation in Zusammenarbeit fortgesetzt und stimmten mit den Informationen überein, auf die KELA-Kunden in Echtzeit zugreifen konnten. KELA bestätigt, dass einer der festgenommenen mutmaßlichen Straftäter, Ruben Thomson, in ihrem Bericht „TeamPCP – Threat Actor Profile“ vom April 2026 namentlich genannt wurde, der den Strafverfolgungsbehörden damals in Berichten und Briefings zur Verfügung gestellt wurde.
Die Ermittlungen der KELA zeigen, dass die Aktivitäten der Gruppe – vom Handel mit Telegram-Daten bis hin zu einer Kaskade von Anmelde-Chaining-Angriffen – noch fünf Monate lang andauerten, während die australische Polizei die beiden Männer wegen dieser Kampagne anklagte.
TeamPCP, eine finanziell motivierte Gruppe, die von Google als UNC6780 verfolgt wird, begann als Händler gestohlener Daten auf Telegram, bevor sie sich gegen die Sicherheits- und Entwicklertools wandte, auf die Unternehmen vertrauen, um ihren eigenen Code zu überprüfen. Zwischen dem 19. und 24. März 2026 führte die Gruppe vier Angriffswellen durch, beginnend mit einem kompromittierten Dienstkonto, das mit dem Trivy-Schwachstellenscanner von Aqua Security verknüpft war, wobei bösartiger Code über die Versions-Tags des Projekts hinweg zwangsweise eingespielt wurde. Der erste Zugriff war möglich, weil eine nach einem Angriff im Februar 2026 durchgeführte Rotation der Anmeldedaten unvollständig geblieben war. Spätere Angriffe betrafen Checkmarx KICS und AST GitHub Actions sowie OpenVSX und LiteLLM. Der Vorfall wird unter der Kennung CVE-2026-33634erfasst und am 26. März 2026 in den Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgenommen. Die Gruppe arbeitete zudem mit der Ransomware-Gruppe „Vect“ zusammen und stellte gestohlene Anmeldedaten für den Erstzugang bereit, während Vect die Infrastruktur für die Verschlüsselung und Erpressung lieferte.
Die AFP geht davon aus, dass durch die Kampagne weltweit möglicherweise mehr als 1.000 Organisationen kompromittiert wurden, der Diebstahl von mehr als 500.000 Zugangsdaten ermöglicht wurde und mindestens 300 Gigabyte an Daten abgezogen wurden, wobei sich die weltweiten Kosten für die Behebung der Schäden auf mehrere hundert Millionen Dollar belaufen.
Die Untersuchungen von KELA dokumentieren zudem das kriminelle Ökosystem hinter dem Code. Die Hauptplattform der Gruppe war ein Telegram-Kanal, der von November 2025 bis März 2026 aktiv war und auf dem der Administrator mit gestohlenen Daten handelte und für „CipherForce“ warb, die eigene Initiative von TeamPCP zur Veröffentlichung von Informationen zu Datenlecks. Im gleichen Zeitraum richtete die Gruppe einen Schwesterkanal unter dem Namen „ShellForce“ ein, betrieb einen Suchbot für Stealer-Protokolle und errichtete eine Tor-basierte Infrastruktur, bevor sie auf „Bulletproof Hosting“ umstieg.
Die AFP hat erklärt, dass ihre Ermittlungen im April 2026 begannen, nachdem sie und das FBI Informationen von mehreren Unternehmen zur Bewertung von Cyberbedrohungen erhalten hatten, und dass diese Meldungen aus der Branche für die Ermittler von entscheidender Bedeutung waren. KELA war eines der Unternehmen, die diesen Behörden Informationen über TeamPCP gemeldet hatten. Der Fall ist nun vor Gericht anhängig.
Ein fertiger Bericht zur Bedrohungsanalyse Bericht ist auf Anfrage bei KELA erhältlich, und die Organisation stellt weitere Erkenntnisse in einem Webinar am Montag, dem 31. August 2026, bekannt.
Ursprünglich veröffentlicht über GlobeNewswire am 27. August 2026 veröffentlicht.
Über KELA
KELA ist ein weltweit führender Anbieter im Bereich der proaktiven Cyberabwehr und bietet eine KI-gestützte, einheitliche Plattform für das Expositionsmanagement, die Funktionen in den Bereichen Cyber Threat Intelligence (CTI), External Attack Surface Management (EASM), Continuous Threat Exposure Management (CTEM) und Third-Party Risk Management (TPRM) vereint, um Sicherheitsteams über den gesamten Bedrohungslebenszyklus hinweg zu unterstützen. KELA genießt das Vertrauen globaler Marken und Regierungen in Nordamerika, Asien und Europa und ist Teil der KELA-Gruppe. Weitere Informationen finden Sie unter www.kelacyber.com.
Kontaktdaten:
