澳大利亚联邦警察联合西澳大利亚州警察以及美国联邦调查局，于2026年8月26日在西澳珀斯地区执行搜查令，逮捕两名涉嫌参与国际网络犯罪集团TeamPCP的年轻人。据澳大利亚当地新闻媒体和执法机构发布的消息，被捕者为21岁的鲁本汤姆森和23岁的路易斯盖布勒，两人合计面临14项指控。

从数据窃取转向供应链投毒

打开网易新闻 查看精彩图片

TeamPCP是一个以经济利益为驱动的网络犯罪团体。该团体最初通过某些即时通讯工具从事数据窃取交易，随后将目标转向开源软件供应链，给全球造成难以估量的经济损失。执法机构随后搜查两人居住的房屋，两人均与父母同住，并扣押大量电子设备进行取证。

沙虫蠕虫病毒具备自我复制能力

该团体刚开始自己发起攻击，向NPM生态系统投毒发起供应链攻击。其恶意软件名为沙虫（Mini Shai-Hulud），属于蠕虫病毒，具备自我复制和传播的能力。只要有少量开发者中招，这个蠕虫就可以通过NPM生态系统进行快速且大范围的传播和感染。

打开网易新闻 查看精彩图片

之后TeamPCP还将沙虫蠕虫病毒开源发布，以至于直到现在NPM生态系统里还经常出现供应链攻击。PyPI以及GitHub等平台也有类似情况，这类供应链攻击根本不会停止。

两名核心成员面临多项指控

汤姆森面临8项指控，包括未经授权修改数据、处理价值10万澳元以上犯罪所得以及拒绝提供设备密码。盖布勒面临6项计算机犯罪相关的指控。据信这两人都是TeamPCP的核心成员。

不过类似TeamPCP这样的网络犯罪集团通常都是直接通过网络联系的，成员彼此之间甚至都不知道对方是谁。两名核心成员被逮捕后也不会给TeamPCP造成太严重的影响，这也是执法机构预计类似供应链攻击还会继续发生的原因。