Специалист Google внедрился в хак-группу TeamPCP
В Google рассказали, что аналитик дочерней компании Mandiant несколько месяцев находился под прикрытием и внедрился в хак-группу TeamPCP, ответственную за серию масштабных атак на цепочки поставок. Благодаря этому специалисты получили возможность следить за действиями хакеров изнутри, предупреждали жертв об атаках, а также мешали злоумышленникам использовать украденные учетные данные.
Напомним, что группировка TeamPCP появилась в конце 2025 года, а весной 2026 года попала на первые полосы СМИ из-за серии громких атак на опенсорсные проекты. Хакеры компрометировали популярные инструменты и инфраструктуру разработчиков, похищали учетные данные, а затем использовали их для новых взломов. Среди целей хакеров оказались Trivy, LiteLLM, Checkmarx, TanStack и Mistral AI. В итоге группа получила доступ к GitHub, Mercor, а также устройствам сотрудников OpenAI, Еврокомиссии и других организаций.
Для автоматизации атак участники TeamPCP использовали самораспространяющегося червя Shai-Hulud, названного в честь песчаных червей из «Дюны». По имеющимся данным, в итоге эта кампания затронула более тысячи организаций.
Перед выступлением на конференции LABScon исследователь Google Threat Intelligence Group Остин Ларсен (Austin Larsen) рассказал журналистам издания Wired, что аналитик Mandiant начал выстраивать доверительные отношения с одним из будущих участников TeamPCP еще до того, как группировка получила широкую известность. Вскоре этого хакера приняли в группу, а благодаря этому в марте 2026 года эксперт Mandiant тоже вошел во внутренний круг TeamPCP, и его добавили в закрытый чат CanisterWorm (одноименный червь использовался в ранних атаках группы), куда входили около 12 ключевых участников.
По словам Ларсена, Mandiant фактически наблюдала за TeamPCP изнутри, начиная с первого дня ее активности. О глубине внедрения свидетельствовал эпизод с бывшим аналитиком австралийской полиции Майклом Флетчером (Michael Fletcher): когда тот обсуждал с Ларсеном способы наблюдения за группировкой, специалист Google попросил действовать осторожно, поскольку среди хакеров уже есть «свой».
Со временем аналитик Mandiant получил доступ и к серверу TeamPCP, где хранились похищенные у жертв логины, пароли и токены. Как именно инсайдеру удалось добраться до этого сервера, Ларсен не уточнил, но отметил, что, по данным австралийской полиции, суммарно группировка собрала учетные данные более чем 500 000 пользователей.
Получив доступ к этой информации, специалисты Google решили не ограничиваться наблюдением и начали мешать дальнейшим атакам группировки. Вместо того чтобы по очереди связываться со всеми пострадавшими, в Google начали напрямую уведомлять AWS, Microsoft и других вендоров, чтобы те быстрее отзывали скомпрометированные учетные данные. Только после этого предупреждения отправляли самим жертвам.
Доступ к внутреннему чату TeamPCP помог исследователям выявить еще одну угрозу. Как оказалось, один из участников группы использовал ИИ для разработки 0-day-эксплоита для неназванного аутентификационного ПО, уязвимость в котором позволяла обойти двухфакторную защиту. В Google изучили код эксплоита, проверили его и выяснили, что после нескольких доработок атака действительно работает. В итоге специалисты предупредили о проблеме разработчика этого софта, после чего уязвимость исправили.
Также Ларсен рассказал, что позже внутри TeamPCP начались конфликты. Группа ShinyHunters, которую привлекли для монетизации украденных данных, начала самостоятельно вымогать деньги у жертв и не делилась прибылью. Более того, участники ShinyHunters передали Ларсену полный лог внутреннего чата TeamPCP, даже не подозревая о том, что у Google уже есть свой источник внутри группы. Вскоре после этой утечки TeamPCP сузила свой внутренний круг и исключила из него сразу нескольких участников, включая аналитика Mandiant.
Однако расследование на этом не закончилось. Используя утечку данных BreachForums и старые архивы, Ларсен связал один из активных аккаунтов TeamPCP с почтовым адресом sheepstealing@gmail.com, а затем с PayPal-аккаунтом, открытым на имя 21-летнего Рубена Иэна Томсона (Ruben Ian Thomson).
Как выяснилось позже, после чистки внутреннего круга TeamPCP также перенесла базу украденных у жертв учетных данных на сервер другого хостинг-провайдера, а резервная копия этой базы оказалась в Google Drive, привязанном к тому же Gmail-аккаунту.
В итоге всю собранную информацию передали ФБР, и в конце августа австралийская полиция арестовала Рубена Иэна Томсона и Луиса Майкла Геблера (Louis Michael Gaebler), которых власти назвали ключевыми участниками TeamPCP.
При этом Ларсен подчеркивает, что внедренный в хак-группу аналитик не участвовал во взломах и не побуждал хакеров к атакам: его задачей было наблюдать и не вызывать подозрений. Также в Google отметили, что это расследование стало частью нового курса компании на более активное противодействие киберпреступникам и вмешательство в их операции.
