TeamPCP apareció en Internet a finales de 2025 y organizó una campaña basada en ataques repetidos contra la cadena de suministro de software. El grupo infectó cientos de proyectos de código abierto, robó cuentas de desarrolladores y utilizó esas cuentas para insertar malware en otras herramientas. También desplegó Mini Shai-Hulud, un gusano capaz de propagarse por sí solo y bautizado con el nombre de los gusanos de Dune. La campaña llegó a más de 1.000 empresas.

Durante la primavera, TeamPCP comprometió Trivy, LiteLLM, la infraestructura de Checkmarx, TanStack y Mistral AI. Los ataques alcanzaron después a GitHub, al contratista de datos Mercor, dispositivos de empleados de OpenAI, la Comisión Europea y otras organizaciones. Mini Shai-Hulud automatizó parte de la expansión. Su nombre parece aludir a otro gusano de septiembre de 2025, aunque no está confirmada la relación de TeamPCP con aquella operación.

Austin Larsen, investigador de Google Threat Intelligence Group, explicó en la conferencia de seguridad LABScon del 18 de septiembre de 2026 que un analista de Mandiant entró en el círculo interno de TeamPCP en marzo. La identidad encubierta pasó meses ganándose la confianza de un actor que después fue invitado al grupo. Así obtuvo acceso al chat central CanisterWorm, con unos 12 miembros. El analista también pudo consultar un servidor que guardaba nombres de usuario, contraseñas y tokens de acceso robados.

Google utilizó ese acceso para frenar la campaña. El equipo contactó con proveedores como Amazon Web Services y Microsoft para que revocaran las credenciales, y después avisó a las organizaciones afectadas. Envió cientos de notificaciones y muchas recibieron respuesta inmediata. Las conversaciones internas también revelaron un exploit zero-day desarrollado con ayuda de una herramienta de IA contra un software de inicio de sesión muy extendido. El código permitía eludir la autenticación de dos factores. Google lo probó, confirmó que funcionaba después de algunos cambios y avisó al desarrollador, que corrigió el fallo. Un estudio de caso publicado por Google en mayo describió el exploit, pero no identificó a TeamPCP ni explicó cómo lo había encontrado Google.

La Policía Federal Australiana indicó que TeamPCP había reunido más de 500.000 credenciales. Según Larsen, el grupo solo obtenía decenas de miles de dólares mediante extorsiones. Por ello compartió el acceso con otros grupos criminales, entre ellos ShinyHunters, a cambio de una parte de los pagos. ShinyHunters ya había conseguido millones con robos de datos y ransomware, incluido el ataque contra Canvas que afectó a miles de escuelas de Estados Unidos. Alrededor de abril, ShinyHunters utilizó las credenciales de TeamPCP para sus propias extorsiones y entregó a Larsen un registro completo del chat del grupo. TeamPCP cambió entonces de servidor, redujo su círculo interno y expulsó a ShinyHunters y a la identidad de Google.

Larsen relacionó un alias muy activo de CanisterWorm con [email protected] a través de una filtración de datos del foro BreachForums. También encontró una disputa de 2019 entre el alias sheepstealing y un vendedor de claves piratas de Microsoft Office. Una petición de reembolso conducía a una cuenta de PayPal asociada con la misma dirección. Tras el cambio de proveedor, un socio de confianza facilitó a Google información sobre el nuevo servidor. Los datos robados se copiaban en un Google Drive vinculado a esa cuenta. Google envió el aviso al FBI, que respondió en cuestión de minutos, según Larsen. El periodista e investigador Brian Krebs había publicado por separado sus propias pistas sobre esa identidad.

Aproximadamente un mes después, las autoridades estadounidenses obtuvieron los datos de la cuenta mediante una orden judicial. La policía australiana detuvo después a Ruben Ian Thomson y Louis Michael Gaebler, dos australianos de poco más de veinte años. El FBI colaboró en la investigación conjunta. La policía australiana los describió como participantes principales de TeamPCP. Su primer comunicado no dio sus nombres por las leyes australianas de privacidad. Ninguno respondió a las solicitudes de comentarios. Google dijo que su analista encubierto se limitó a observar, sin piratear sistemas ni animar al grupo a cometer delitos.

La investigación comenzó cuando Google puso en marcha su Cyber Disruption Unit. Larsen afirmó que Google Threat Intelligence Group considera ahora la intervención directa para proteger a los usuarios una misión formal.