Das Vorgehen von TeamPCP beschrieb der Journalist Andy Greenberg im Wired-Magazin als zyklische Ausbeutung von Entwicklern: Die Angreifer dringen in ein Netzwerk ein, in dem ein verbreitetes Open-Source-Werkzeug entsteht, platzieren dort Schadsoftware, die auf den Rechnern weiterer Entwickler landet, stehlen dort erneut Zugangsdaten und veröffentlichen damit manipulierte Versionen weiterer Werkzeuge. Der Kreislauf wiederholt sich, der Bestand kompromittierter Netzwerke wächst.
Ähnlich zyklisch verlief die Anwerbung neuer Mitstreiter. Nachdem der Quellcode der dritten Shai-Hulud-Version im Mai online veröffentlicht worden war, lobte TeamPCP einen Wettbewerb aus: 1.000 US-Dollar in Kryptowährung für die größte Lieferkettenoperation auf Basis des Wurmcodes, bewertet nach den wöchentlichen und monatlichen Downloadzahlen der kompromittierten Pakete — ein direkter Anreiz, die populärsten Bibliotheken anzugreifen. Die Sicherheitsfirma Dataminr wertete dies als Talentsuche: Die Gruppe habe angekündigt, alle brauchbaren Zugänge aus den Kampagnen der Teilnehmer aufzukaufen; der Monero-Preis sei laut dem Akteur nur „so etwas wie ein Trostpreis“, wer etwas Gutes finde, werde deutlich besser bezahlt.
Im März traf TeamPCP mit LiteLLM ein Open-Source-Gateway, das Nutzer mit mehr als 100 großen Sprachmodellen verbindet. Nach einer Analyse der Sicherheitsfirma CloudSEK wurden dabei Cloud-Schlüssel und andere Geheimnisse von über 2.500 Organisationen abgegriffen, darunter viele der größten Technologiekonzerne. Im Mai reklamierte die Gruppe die Kompromittierung von mindestens 3.800 Code-Repositories bei GitHub für sich, nachdem ein GitHub-Entwickler eine von TeamPCP-Schadcode verseuchte Code-Erweiterung installiert hatte.
Als Gruppe im klassischen Sinne gilt TeamPCP nicht. „Es ist keine strukturierte kriminelle Truppe mit einem einzelnen Betreiber“, sagte Austin Larsen, leitender Bedrohungsanalyst der Google Threat Intelligence Group. „Es ist eine Gemeinschaft von individuell fähigen Akteuren mit einem klaren Schwerpunkt.“ Dieser Schwerpunkt ist demnach George Prepakis alias @kernelstub, der einen Matrix-Chatserver namens „Cybercats“ betreibt, über den TeamPCP und andere Cybercrime-Akteure seit Monaten täglich kommunizieren. Zu den Administratoren zählen „Boxturtle“, ein Datenhändler, der Beute aus Angriffen auf BMW Group, Audi, Honda, Mercedes-Benz, Volvo und Toyota sowie angeblich von Snapchat und SportRadar verkauft, und „SeesawSec“ hinter der Gruppe Fulcrumsec, die Erpressungsangriffe auf Novo Nordisk, LexisNexis und Avnet für sich reklamierte.
Die Recherche von KrebsOnSecurity führte über Foren-Aliase wie Express, BulkDMT und EllisD25, über Daten von Intel 471, SpyCloud, Constella, Flashpoint, DomainTools und Epieos zu Ruben Thomson aus Cottesloe bei Perth. Ein besonders auffälliger Fehler: Unter dem Namen Ruben Thomson wurde bei HackerOne ein Konto mit dem Nutzernamen Deadcatx3 angelegt — ein Alias, den mehrere Sicherheitsfirmen TeamPCP zuordnen. In einem Signal-Interview zeigte sich der Wortführer offen; er will im März 2026 ausgestiegen sein und insgesamt rund 20.000 US-Dollar verdient haben.
Charlie Eriksen von Aikido Security ordnet TeamPCP als neuen Typus ein: „Sie sind kein staatlicher Akteur, nicht ganz organisierte Cyberkriminalität und nicht rein ideologisch.“ Sprachmodelle verkürzten die Lücke zwischen Forschungslektüre und einsatzfähiger Kampagne erheblich. In direkter Reaktion auf die Angriffe führte GitHub Ende Juli eine dreitägige Wartefrist für Dependabot ein; auch Python- und JavaScript-Ökosysteme ergänzten dieses Jahr solche Karenzzeiten.