Google внедрила агента в TeamPCP и сорвала схему с украденными доступами

Google сообщила, что её аналитик под прикрытием проник во внутренний круг хакерской группы TeamPCP, которую связывают с масштабной серией атак на цепочки поставок ПО. Сотрудник Mandiant, подразделения Google по кибербезопасности, следил за действиями группы изнутри, а команда компании предупреждала пострадавшие организации и отзывала скомпрометированные учётные данные. Расследование также помогло передать правоохранительным органам сведения об одном из предполагаемых участников TeamPCP.

В конце прошлого месяца австралийская полиция задержала Рубена Иана Томсона и Луиса Майкла Геблера, обоим около 20 лет. Их обвинили в преступлениях, связанных со взломами, а Австралийская федеральная полиция назвала задержанных основными участниками TeamPCP. В операции участвовало ФБР, однако ведомства не раскрыли дополнительных деталей расследования.

TeamPCP появилась в сети, предположительно, в конце 2025 года. Группа заражала вредоносным кодом проекты с открытым исходным кодом, получала доступ к аккаунтам разработчиков и использовала их для компрометации следующего популярного инструмента. Такая цепочка позволяла расширять число жертв. Среди скомпрометированных целей назывались сканер безопасности Trivy, инструмент для API LiteLLM, инфраструктура Checkmarx, библиотека TanStack и корпоративная ИИ-платформа Mistral AI.

В ходе кампании злоумышленники также получили доступ к GitHub, компании Mercor и устройствам сотрудников OpenAI и Европейской комиссии. Для автоматизации атак TeamPCP применяла червя Mini Shai-Hulud, названного в честь песчаных червей из «Дюны». Он помогал распространять вредоносный код и собирать новые учётные данные.

Агент Google проник в чат TeamPCP

По словам исследователя Google Threat Intelligence Group Остина Ларсена, аналитик Mandiant получил приглашение в закрытый чат TeamPCP ещё в марте, когда кампания только набирала ход. Сотрудник под прикрытием вошёл в круг примерно из 12 участников, имевших доступ к основному каналу группы под названием CanisterWorm. Ларсен не раскрыл имя аналитика, но отметил, что тот долго выстраивал доверие с человеком, которого затем приняли в TeamPCP.

Через этот доступ Google узнала о сервере, где хакеры хранили похищенные логины, пароли и токены доступа. По оценке Австралийской федеральной полиции, в распоряжении группы находились данные более чем 500 тысяч пользователей. TeamPCP, как утверждает Ларсен, планировала применять эти данные для вымогательства у взломанных компаний.

Google решила сначала связаться с поставщиками сервисов, где могли использоваться украденные данные. Компания направила сотни уведомлений организациям, включая Amazon Web Services и Microsoft, чтобы те отозвали доступы и не позволили злоумышленникам воспользоваться ими. После этого команда стала рассылать сообщения пострадавшим компаниям.

Доступ к внутреннему чату помог выявить и другую угрозу. Один из участников TeamPCP использовал ИИ-инструмент для разработки эксплойта нулевого дня против широко применяемого ПО для входа в аккаунты. Эксплойт позволял обходить двухфакторную аутентификацию. Специалисты Google получили его код, проверили работу метода и уведомили разработчика уязвимого продукта, после чего тот выпустил исправление.

Ларсен подчеркнул, что сотрудник Mandiant не участвовал во взломах и не подталкивал группу к атакам. Его роль сводилась к наблюдению и поддержанию легенды, чтобы не вызвать подозрений у участников чата. По словам исследователя, для такой работы в Google действуют внутренние ограничения.

Предательство партнёров и след до Австралии

Несмотря на объём украденных данных, TeamPCP, по оценке Ларсена, получала от вымогательства лишь десятки тысяч долларов. Это значительно меньше сумм, которые зарабатывали другие преступные группы с похожими схемами. Чтобы увеличить доход, TeamPCP привлекла несколько партнёров и предложила им долю от выплат за использование похищенных учётных данных.

Одним из таких партнёров стала группировка ShinyHunters. Через несколько недель после начала сотрудничества она начала самостоятельно вымогать деньги у жертв TeamPCP, не делясь доходом с владельцами базы доступов. ShinyHunters также без запроса передала Ларсену полный журнал сообщений с сервера TeamPCP, не зная, что Google уже наблюдает за группой через внедрённого аналитика.

После утечки сообщений TeamPCP сузила круг участников, перенесла данные на другой сервер и исключила из чата CanisterWorm ShinyHunters, нескольких других членов группы и агента Mandiant. Однако Google продолжила расследование с помощью анализа цифровых следов. Ларсен изучил утечку данных форума BreachForums и связал один из активных псевдонимов в чате с адресом Gmail sheepstealing@gmail.com.

В архивах других форумов исследователь нашёл спор 2019 года между пользователем sheepstealing и продавцом пиратских ключей Microsoft Office. В переписке фигурировал PayPal-аккаунт, привязанный к адресу ruben@thomsonfamily.net.au. Позднее Google установила, что резервная копия данных с нового сервера TeamPCP отправлялась в Google Drive, связанный с тем же Gmail-адресом.

Эти сведения Google передала ФБР. По словам Ларсена, ответ от агента ведомства пришёл в течение нескольких минут. Примерно через месяц после передачи данных американские правоохранители завершили процедуру получения информации от Google по судебному ордеру, а затем австралийская полиция задержала Томсона.

Расследование началось примерно в то же время, когда Google запустила подразделение Cyber Disruption Unit. Его задача состоит в противодействии киберпреступникам и государственным хакерским группам. Ларсен заявил, что Google Threat Intelligence Group теперь уделяет особое внимание срыву атак, а не только подготовке аналитических отчётов.