Ende Juli 2026 hatte das ukrainische Computer Emergency Response Team CERT-UA gewarnt, dass UAC-0099 ein Schadprogramm im Gewand eines Notepad++-Plugins verteilt, um Windows-Systeme mit einer neuen Version von MATCHBOIL zu infizieren. GuardBreaker fügt diesem Vorgehen nun eine Ebene hinzu, die weniger auf technische Erkennung als auf automatisierte KI-Auswertung zielt.
Neu ist die Grundidee allerdings nicht. Im Juni 2026 wurden mehrere Python-Pakete – legitime wie bösartige – entdeckt, die einen vergleichbaren Anti-Analyse-Trick gegen naive, LLM-zentrierte Triage-Systeme enthielten. Sie waren Teil der Lieferketten-Kampagnen Mini Shai-Hulud, Miasma und Hades. Die im Klartext eingebettete feindliche Prompt-Injection enthielt erfundene Schritt-für-Schritt-Anleitungen zu biologischen und nuklearen Waffen, um Schutzmechanismen auszulösen und KI-Scanner in eine Verweigerungshaltung zu drängen.
„Es versucht, Scanner oder Analysten-Assistenten aus der Bahn zu werfen, die den Anfang einer Datei an ein Sprachmodell übergeben, ohne den Inhalt klar als nicht vertrauenswürdige Daten zu kennzeichnen“, erklärte Socket damals. In schwachen Verarbeitungsketten könne das zu Verweigerungsverhalten, Prompt-Verwirrung, verunreinigtem Kontext oder einer vorzeitigen Einordnung führen – noch bevor der Scanner die eigentliche Schadsoftware erreiche.
Die früheren Wellen wurden einer Cybercrime-Gruppe namens TeamPCP zugeschrieben. Für Aktivitäten nach dem 12. Mai 2026 ist die Zuordnung jedoch unsicher, weil der Quellcode des Shai-Hulud-Wurms öffentlich geleakt wurde und andere Akteure dieselben Taktiken übernehmen konnten.
Kürzlich beschrieben Socket und Step Security eine weitere Mini-Shai-Hulud-Kompromittierung, diesmal des npm-Pakets @7nohe/openapi-react-query-codegen. Ausgeliefert wurde ein obfuskierter JavaScript-Loader, der eine zweite Stufe entschlüsselt und nachlädt: einen Stealer, der es auf Cloud-Zugangsdaten, Zugangsdaten für Paket-Registries, GitHub-Actions-Secrets und Konfigurationen von KI-Agenten abgesehen hat.
Zwei angebliche Mitglieder von TeamPCP wurden inzwischen festgenommen: Ruben Ian Thomson, 21, und Louis Michael Gaebler, 23, beide aus Westaustralien. Die Behörden werfen ihnen Beteiligung an der Serie von Lieferkettenangriffen, Identitätsdelikte und Geldwäsche mit Kryptowährungen vor. Die Gruppe soll seit 2020 aktiv sein.
Eine Analyse von Flare rekonstruierte den digitalen Fußabdruck der Gruppe und führte die Online-Personas TeamPCP und DeadCatx3 auf Ruben Thomson zurück, der demnach als Anführer agierte. „Die frühen Operationen der Gruppe waren pure Gelegenheitssuche: nach offenen Diensten scannen, einen Container ablegen, Monero minen“, heißt es in dem Bericht.
Später habe die Gruppe erkannt, dass ein Schwachstellenscanner innerhalb einer Build-Pipeline mehr Zugangsdaten beherbergt als die meisten Hosts, die sie direkt kompromittieren könnte – und dass Vertrauen in Sicherheitswerkzeuge übertragbar ist. Flare fasst das in einem Satz zusammen: „LiteLLM wurde nicht kompromittiert, aber es ließ Trivy laufen.“