TeamPCP-Hacker geschnappt: Dieser Anfängerfehler verriet seine Identität

TeamPCP-Hacker geschnappt: Zwei mutmaßliche Mitglieder sind festgenommen. Ein Anfängerfehler half, einen der Beteiligten zu identifizieren.

Die Hackergruppe TeamPCP ist ins Visier internationaler Ermittler geraten. In Australien wurden zwei mutmaßliche TeamPCP-Hacker festgenommen. Einer der Verdächtigen soll sich dabei durch einen Anfängerfehler selbst verraten haben.

Die Behörden werfen den beiden jungen Männern vor, an einem international agierenden Cybercrime-Syndikat beteiligt gewesen zu sein, das manipulierte Open-Source-Software für Angriffe eingesetzt haben soll. Auf diesem Weg konnten die Angreifer sowohl zahlreiche Unternehmen und Organisationen als auch Entwickler erreichen.

Einer der mutmaßlichen Drahtzieher vernachlässigte seine OPSEC (Operational Security) offenbar sträflich. Dabei hinterließ er Spuren, die ihn letztlich enttarnten. Sicherheitsjournalist Brian Krebs konnte bereits vor der Festnahme die wahre Identität eines TeamPCP-Akteurs aufdecken. Wie Krebs ausführte, verriet sich der Hacker gleich durch eine ganze Reihe eindeutiger digitaler Spuren.

Zwei mutmaßliche TeamPCP-Hacker festgenommen

Am 26. August 2026 nahmen die australischen Behörden zwei Männer im Bundesstaat Western Australia fest. An dem Einsatz waren die Australian Federal Police (AFP), die Western Australia Police Force (WAPF) und das FBI beteiligt. Konkret handelt es sich bei den Beschuldigten um den 21-jährigen Ruben Ian Thomson aus Cottesloe und den 23-jährigen Louis Michael Gaebler aus Mandurah. Laut Australian Federal Police (AFP), der australischen Bundespolizei, wurden gegen die beiden Männer in Australien 14 Vorwürfe erhoben. Die australischen Ermittler gehen davon aus, dass die beiden Männer Teil eines international agierenden Cybercrime-Netzwerks waren. Bei Durchsuchungen in Cottesloe, Hamilton Hill und Mandurah stellten die Ermittler elektronische Geräte und weitere Gegenstände sicher.

Laut ABC News nahmen die Ermittlungen bereits im April Fahrt auf, nachdem AFP und FBI Hinweise auf das mutmaßliche Cybercrime-Syndikat erhalten hatten. Das Duo steht im Verdacht, Schadcode in Open-Source-Software eingeschleust zu haben, die andere Entwickler daraufhin unwissentlich aufgriffen.

Thomson wird zudem von den US-Behörden mit den Aktivitäten von TeamPCP in Verbindung gebracht. Das US-Justizministerium teilte mit, dass eine Bundesjury in den USA am 25. August Anklage gegen den 21-Jährigen erhoben hat. Ihm werden Verschwörung zu Verstößen gegen den Computer Fraud and Abuse Act sowie die Beschaffung von Informationen aus einem geschützten Computersystem vorgeworfen. Gemäß dem DOJ beziehen sich die Anschuldigungen auf Cyberangriffe im Frühjahr 2026, die unter dem Namen TeamPCP durchgeführt worden sein sollen.

Mehr als 1.000 Organisationen betroffen

Nach Angaben der australischen Ermittler könnte kompromittierte Software in die Systeme von mehr als 1.000 Organisationen weltweit gelangt sein. Davon betroffen gewesen sein sollen Einrichtungen aus dem öffentlichen, akademischen sowie privaten Bereich. Die manipulierte Software soll u.a. dazu gedient haben, sensible Informationen und Zugangsdaten aus den Systemen der Opfer abzuschöpfen. Die AFP sprach gegenüber ABC von mehr als 500.000 erbeuteten Benutzer- und Authentifizierungsdaten.

Diese Zugangsdaten nutzten die Angreifer laut den Ermittlern, um sich als legitime Nutzer auszugeben, Sicherheitsmechanismen zu umgehen und sich den Zugriff auf Netzwerke sowie Cloud-Umgebungen zu verschaffen. AFP Commander Graham Marshall sprach von signifikanten finanziellen Schäden und Betriebsunterbrechungen. Die Kosten für die Beseitigung der Folgen werden laut ABC auf Hunderte Millionen Dollar geschätzt.

TeamPCP nutzte Software-Lieferkette als Einfallstor

Für ihre Angriffe nutzten die TeamPCP-Hacker vertrauenswürdige Software. Sie setzten darauf, dass sich der Schadcode durch die Kompromittierung populärer Open-Source-Projekte über deren Nutzer weiterverbreiten würde. Einmal in die Systeme integriert, durchsuchte die manipulierte Software die Computerumgebungen nach sensiblen Informationen. Die erbeuteten Daten gelangten schließlich direkt an die von den Angreifern kontrollierte Infrastruktur.

Laut US-Justizministerium (DOJ) ermöglichte der Schadcode einen dauerhaften Zugriff auf die betroffenen Umgebungen. Mit Androhung einer Veröffentlichung von gestohlenen Daten sollen die Cyberkriminellen ihre Opfer anschließend erpresst haben.

Mutmaßlicher Hacker nannte sich „Ellis“

Aufgrund eigener Recherchen hatte der Sicherheitsjournalist Brian Krebs die Identität des 21-jährigen Verdächtigen Ruben Ian Thomson bereits im Juni 2026 ermittelt, noch bevor die australischen Behörden seine Festnahme bekannt gaben. Der Mann trat in mehreren Cybercrime-Foren unter verschiedenen Aliasnamen auf. Dazu gehörten unter anderem EllisD25/LSD, BulkDMT und Express. Auch der Name Persy_PCP tauchte im Zusammenhang mit dem mutmaßlichen TeamPCP-Anführer auf.

Die verschiedenen Identitäten waren allerdings keineswegs so sauber voneinander getrennt, wie man es bei einem anonym agierenden Cyberkriminellen erwarten würde. Mehrere Konten verwendeten dieselben Kontaktkennungen. Für seine Recherchen nutzte Krebs Informationen verschiedener Sicherheitsfirmen und OSINT-Dienste. Diese brachten E-Mail-Adressen, IP-Adressen, Accounts und weitere digitale Spuren miteinander in Verbindung. Die Hinweise führten schließlich zu Ruben Thomson.

Der Anfängerfehler: „OPSEC Express“

Des Weiteren fand Krebs heraus, dass Ruben Thomson mehrere Unternehmen gegründet und mitverwaltet hatte. Darunter befand sich kurioserweise auch eine Firma mit dem Namen „OPSEC Express“. OPSEC steht für Operational Security. Damit gemeint sind Maßnahmen, mit denen eine Person ihre reale Identität und verschiedene Aktivitäten voneinander abschirmt. Der Begriff „Express“ im Unternehmensnamen stand dabei mit einem seiner bekannten Cybercrime-Aliase in Verbindung. Für Krebs war das ein weiteres Puzzleteil bei der Identifizierung des mutmaßlichen Cyberkriminellen.

Die Spur führte nach Perth

Krebs ging bei seiner Recherche dann jedoch nochmals tiefer. Er nahm dabei die Hilfe von SpyCloud in Anspruch, eines auf Identitätsschutz und Cybercrime-Ermittlungen ausgerichtetes Sicherheitsunternehmen. Der Dienst wertet u.a. Daten aus dem kriminellen Untergrund aus. Dadurch gelingt es, Verbindungen zwischen kompromittierten Identitäten, Accounts und digitalen Spuren sichtbar zu machen.

SpyCloud stellte fest, dass die E-Mail-Adresse [email protected] bei der Registrierung des Accounts „ChristmasSnow“ im Cybercrime-Forum RaidForums verwendet worden war. Fast alle IP-Adressen, über die auf diesen Account zugegriffen wurde, stammten laut SpyCloud von Internetprovidern in Perth, Australien.

Krebs unterzog diese IP-Adressen mithilfe von passiven DNS-Daten von DomainTools einer weiteren Überprüfung. Dabei stieß er auf eine Adresse, die über mehrere Jahre für einen privaten Dateiserver einer Familie namens Thomson in Perth genutzt worden war. Weitere Recherchen über öffentlich zugängliche Datenbanken und OSINT-Dienste führten schließlich zu Familienmitgliedern und damit zu Ruben Thomson.

Aber auch weitere Accounts und Domains vom mutmaßlichen TeamPCP-Hacker ließen sich miteinander verbinden. So stieß Krebs auf rubenthomson.com, verschiedene E-Mail-Adressen, Social-Media-Konten und berufliche Profile. Ein Airbnb-Profil unter dem Namen Ruben bezeichnete den Nutzer als Webentwickler und verwendete den Hinweis, seine Freunde würden ihn „Ellis“ nennen.

Aus all diesen kleinen Spuren entstand so ein digitales Mosaik. Ein Firmenname, ein HackerOne-Account, wiederverwendete Kontaktinformationen, IP-Adressen und weitere öffentlich zugängliche Daten ergaben zusammen ein zusammengesetztes Puzzle, das letztlich direkt zu Ruben Thomson führte. Der Anfängerfehler bestand damit in einer mangelhaften Trennung zwischen seinen verschiedenen digitalen Identitäten.

Der Alias „Deadcatx3“

Einen weiteren Hinweis lieferte der Alias „Deadcatx3“. Im Juni 2025 registrierte sich eine Person namens Ruben Thomson bei der Bug-Bounty-Plattform HackerOne. Der gewählte Benutzername lautete „Deadcatx3“, ein Alias, den das Emerging Threats Team von Flare, das ebenfalls auf Spurensuche nach TeamPCP war, bereits TeamPCP zugeordnet hatte. Damit entstand eine direkte Verbindung zwischen dem realen Namen und einem bekannten Alias der Hackergruppe. Flare kommentierte: „So einfach kann es doch nicht sein, oder?„

Steam-Account lieferte entscheidendes Puzzleteil

Die Spur von DeadCatx3 führte Flare zunächst zu einem HackerOne-Konto, das mit dem Namen Ruben Thomson verbunden war. Auch ein Hugging-Face-Profil mit den Initialen „R T“ verwendete den Alias. In dem Profil war die Domain masscan[.]cloud hinterlegt. Diese diente laut Flare als Command-and-Control-Infrastruktur des von TeamPCP eingesetzten Mini-Shai-Hulud-Wurms.

Doch Flare wollte sich nicht allein auf diese Verbindung verlassen. Weitere Recherchen führten zu E-Mail-Adressen und einem geleakten Passwort. Über einen Reverse-Pivot ließ sich damit eine weitere Gmail-Adresse ermitteln. Diese wiederum war mit einem TikTok-Account namens „yolosolo17“ verbunden. Als Name war dort Ruben Thomson angegeben. Das einzige veröffentlichte TikTok-Video zeigte seinen Steam-Account „YolocrownZ“.

Damit war die Recherche jedoch noch nicht beendet. Der auf Thomsons TikTok-Account zu sehende Steam-Account war mit einem VAC-Bann, einem Valve Anti-Cheat-Ausschluss, versehen. In den Kommentaren eines weiteren, über die geleakten Zugangsdaten gefundenen Steam-Accounts entdeckte Flare außerdem einen Account namens „Ellis“. Dieser Account war seit demselben Datum wegen eines Verstoßes gegen die VAC-Richtlinien gesperrt, das auch bei dem Steam-Account auf Thomsons TikTok-Account angezeigt wurde. Auch der Name „Ellis“ war bereits im Zusammenhang mit Thomson aufgetaucht.

Noch auffälliger war jedoch das Profilbild von Thomsons Steam-Account. Es zeigte eine Katze vor mehreren Computermonitoren. Eine Rückwärtssuche lieferte keine weiteren Treffer. Möglicherweise handelte es sich um ein eigens von Thomson verwendetes Bild. Dann schloss sich für Flare der Kreis. Die Sicherheitsforscher suchten nach dem Telegram-Account „PCP.sh“ und stießen auf einen Screenshot des TeamPCP-Kanals. Dessen Profilbild war identisch mit dem Steam-Avatar von Ruben Thomson.

Für Flare ergab sich daraus eine direkte Verbindung zwischen Ruben Thomson, dem Steam-Account und der Identität des mutmaßlichen TeamPCP-Hackers. Aus einem einzelnen Alias war damit eine digitale Spurensammlung geworden. Solche Überschneidungen sind für Ermittler und Sicherheitsforscher besonders wertvoll. Werden mehrere unabhängige Spuren miteinander verknüpft, kann sich daraus eine belastbare Identifizierung von Cyberkriminellen ergeben.

TeamPCP zeigte sich öffentlich

Aber auch das Auftreten von TeamPCP im Netz dürfte den Ermittlern und Sicherheitsforschern in die Hände gespielt haben. Gemäß Flare unterhielt die Gruppe „Telegram-Kanäle, veröffentlichte Beiträge auf X, verhöhnte ihre Opfer und gab sogar ein Presseinterview“ mit Forbes. In dem Gespräch bezeichnete sich die Gruppe als lockeren Zusammenschluss von Jugendlichen und jungen Erwachsenen, die keine bezahlte Arbeit gefunden hätten und deshalb in die Cyberkriminalität abgerutscht seien.

Der Drang, mit den eigenen Aktivitäten Aufmerksamkeit zu erzeugen, sorgte dabei für zusätzliche digitale Anknüpfungspunkte.

Journalist sprach mit seinem Verdächtigen

Nachdem Krebs bereits Hinweise auf die reale Identität des mutmaßlichen TeamPCP-Mitglieds recherchiert hatte, führte er sogar ein Interview mit ihm. Anfang Juli 2026 sprach KrebsOnSecurity über Signal mit „Ellis“. Dieser äußerte sich dabei ungewöhnlich offen über seine Vergangenheit und Aktivitäten. Er führte dabei an, er hätte seine Beteiligung an TeamPCP bereits im März beendet. Später habe eine andere Person die Führung übernommen.

TeamPCP ist kein klassischer Hacker-Ring

KrebsOnSecurity zitiert den Threat Analyst Austin Larsen von der Google Threat Intelligence Group. Seiner Einschätzung zufolge handelt es sich um eine Gemeinschaft verschiedener Akteure, die bei bestimmten Angriffen zusammenarbeiten. Die Beteiligten können bei unterschiedlichen Angriffen verschiedene Rollen einnehmen. Die lose Struktur kann es erschweren, die jeweils Verantwortlichen eindeutig einzelnen Attacken zuzuordnen.

TeamPCP entwickelte seine Angriffsmethoden weiter

Laut einer Analyse von Flare trat TeamPCP bereits Ende 2025 als opportunistische Gruppe für Cloud-Exploitation in Erscheinung. Die TeamPCP-Hacker setzten laut Flare automatisierte Scanner ein, die das Internet nach ungeschützten Docker-APIs, Kubernetes-Steuerungsebenen, Ray-Dashboards und Redis-Instanzen durchsuchten. Gelang eine Kompromittierung, installierten die Angreifer Container auf den betroffenen Systemen. Diese wurden anschließend selbst zu Scan- und Proxy-Knoten. Die Schadsoftware konnte sich so weiter ausbreiten.

Flare beobachtete die Aktivitäten mit eigenen Honeypots. In einer Phase registrierten die Sicherheitsforscher 185 kompromittierte Docker-Instanzen. Die Einnahmen der Gruppe sollen aus verschiedenen Quellen gestammt haben: vom Krypto-Mining über ein vermietetes Proxy-Netzwerk bis hin zum Verkauf gestohlener Daten und anschließender Erpressung.

Im Dezember 2025 nahm TeamPCP laut Flare zudem Next.js-Anwendungen mit einer React2Shell-Kampagne ins Visier. Das Kontrollsystem der Angreifer soll innerhalb von weniger als 48 Stunden mehr als 59.000 kompromittierte Server angezeigt haben.

LiteLLM und tausende betroffene Organisationen

Zu den Angriffen zählt auch die Kompromittierung von LiteLLM, einem Open-Source-KI-Gateway. Die Analyse des Sicherheitsunternehmens CloudSEK kam laut KrebsOnSecurity zu dem Ergebnis, dass bei diesem Angriff Cloud-Schlüssel und andere sicherheitsrelevante Daten von mehr als 2.500 Organisationen abgegriffen worden sein könnten. Darunter sollen sich zahlreiche große Technologieunternehmen befunden haben.

Im Mai behauptete TeamPCP außerdem, 3.800 GitHub-Repositories kompromittiert zu haben. KrebsOnSecurity berichtet, dass die Gruppe dabei von einer kompromittierten Entwickler-Erweiterung profitierte.

Ermittler haben 100 Terabyte Daten sichergestellt

Für die australischen Behörden dürfte allerdings die Arbeit nach den Festnahmen gerade erst richtig anlaufen. Nach Angaben der Polizei wurden bei den Durchsuchungen zahlreiche elektronische Geräte beschlagnahmt. Von nur einem einzigen Gerät konnten die Ermittler laut ABC bereits 100 Terabyte Daten extrahieren. Zudem sollen noch zahlreiche weitere Daten ausgewertet werden. Die Behörden rechnen deshalb mit weiteren Erkenntnissen, die möglicherweise auch weiteren Festnahmen zur Folge haben können. Der zuständige AFP Commander Graham Marshall bezeichnete die beiden Männer als international bedeutende Cybercrime-Bedrohungsakteure.

Noch kein Schuldspruch

Die Ermittlungen gegen die beiden jungen Männer von ‚TeamPCP-Hacker‘ laufen weiter. Thomson und Gaebler müssen sich zunächst den australischen Vorwürfen stellen. Thomson sieht sich zudem der US-Bundesanklage gegenüber. Beide gelten bis zu einer rechtskräftigen Verurteilung als unschuldig.

Nach Angaben von ABC wurde Thomson keine Freilassung auf Kaution gewährt. Gaeblers Anwalt stellte keinen entsprechenden Antrag. Beide sollen bis zu ihrem nächsten Gerichtstermin am 18. September 2026 in Gewahrsam bleiben. Die Ermittler haben damit noch einiges vor sich. Schon jetzt zeigt der Fall jedoch, dass selbst technisch ausgeklügelte Cyberangriffe an etwas sehr Banalem scheitern können.

Hier kann man die Nachricht bei uns im Forum kommentieren.