Die Anklagepunkte im Detail: Dem 21-Jährigen aus Cottesloe werden Besitz von Daten in der Absicht, eine Computerstraftat zu begehen, vier Fälle unbefugter Datenveränderung in der Absicht, eine schwere Straftat zu begehen, ein Fall der Weitergabe von Daten, ein Verstoß gegen eine Anordnung nach Section 3LA sowie der Umgang mit Erträgen aus Straftaten im Wert von 100.000 Dollar oder mehr vorgeworfen. Der 23-Jährige aus Mandurah muss sich wegen Besitzes von Daten, vier Fällen unbefugter Datenveränderung und eines Falls der Weitergabe von Daten verantworten. Der Vorwurf nach Section 3LA des Crimes Act 1914 ist mit bis zu zehn Jahren Haft bedroht, der Anklagepunkt zu Erträgen aus Straftaten mit bis zu 20 Jahren. Keiner der 14 Punkte benennt ein konkret kompromittiertes Projekt.
Das Vorgehen des Syndikats folgte einem Kettenprinzip: Es stahl Veröffentlichungs-Zugangsdaten vertrauenswürdiger Open-Source-Projekte und schob vergiftete Versionen über deren eigene Release-Kanäle nach. Die Kampagne erstreckte sich über fünf Distributionsökosysteme – GitHub Actions, Docker Hub, npm, PyPI und OpenVSX. Zugangsdaten aus der Trivy-Kompromittierung wurden Tage später gegen die Checkmarx-KICS-Actions eingesetzt.
Bei LiteLLM installierte die eigene Build-Pipeline Trivy, ohne ihn auf eine verifizierte Version festzunageln. Der vergiftete Scanner griff daraufhin das Veröffentlichungs-Token des Projekts ab, mit dem der Angreifer Ende März die hintertürbehafteten LiteLLM-Releases veröffentlichte. LiteLLM verteilt Anfragen über verschiedene LLM-Anbieter und sitzt damit an der Stelle, an der die Anbieterschlüssel einer Organisation zusammenlaufen.
Das FBI riet in einem Advisory vom 2. Juli, betroffene Organisationen sollten abgeflossene Daten und Zugangsdaten als dauerhaftes Risiko behandeln, da beteiligte Akteure sie „wahrscheinlich noch lange nach der ursprünglichen Kompromittierung als Waffe einsetzen" würden. Empfohlen wird die Rotation aller CI/CD-Geheimnisse, Veröffentlichungs-Tokens und Cloud-Zugangsdaten, die während der Expositionszeiträume erreichbar waren. Das Advisory nennt zudem tpcp-docs und docs-tpcp als Repository-Namen, die der Wurm mit gestohlenen Zugangsdaten anlegt, und rät, alle GitHub-Actions-Workflows auf verifizierte Commit-SHA-Hashes statt auf bewegliche Versions-Tags festzulegen.
Zu den Zahlen gibt es unterschiedliche Erhebungen. Unit 42 nannte im März dieselben beiden Werte, jedoch relativiert als das, was der Akteur „möglicherweise exfiltriert" habe. CloudSEK bezifferte die rekonstruierte Exposition auf mehr als 2.500 Organisationen und rund 434.000 CI/CD-Pipelines; Hudson Rock ordnete 118.829 CI-Runner-Dumps 2.488 Unternehmensdomains aus einem 153 GB großen Archiv der von den Angreifern selbst exfiltrierten Daten zu. CloudSEK betonte, Zugangsdatendiebstahl sei kein Beleg für eine erfolgreiche Kompromittierung; bestätigt seien die 16 Organisationen, die TeamPCP bis Ende März auf seiner Leak-Seite veröffentlicht hatte. StepSecurity fand bei der Auswertung des CloudSEK-Datensatzes GitLab mit 1.064 Organisationen an der Spitze, vor GitHub Actions (618), Azure DevOps (233), Jenkins (105), Bitbucket Pipelines (94) und CircleCI (15).
The Hacker News bestätigte am 27. August über PyPI, dass die beiden bösartigen LiteLLM-Builds nicht mehr in der Release-Historie des Pakets erscheinen, über ihre direkten Paket-URLs aber fünf Monate nach der Entfernung aus dem Index weiterhin HTTP 200 vom Content Delivery Network von PyPI zurückgeben.
Oligo Security führte TeamPCP-nahe Infrastruktur in einem Bericht vom 5. August bis ins Jahr 2020 zurück und verband die Gruppe über überlappende Domains, Malware-Ablagepfade, Staging-Techniken und Backend-Infrastruktur mit den zuvor als TA-NATALSTATUS und IronErn verfolgten Aktivitäten. Ob es sich um eine Umbenennung, einen gemeinsamen Betreiberkreis oder enge Zusammenarbeit handele, lasse sich „nicht mit 100-prozentiger Sicherheit bestimmen", so Oligo. Das in der Mini-Shai-Hulud-Kampagne genutzte Wurm-Framework stellte die Gruppe am 12. Mai 2026 quelloffen auf GitHub. Eine neue npm-Welle mit demselben Werkzeugkasten vergiftete am 4. August 2026 die Pakete keyv und cacheable; laut Socket ließen sich die Markierungen, die die Probe einer benannten Kampagne zuordnen würden, nicht wiederherstellen.