Аналитик Google под прикрытием внедрился в известную группировку, занимающуюся взломом цепочек поставок.

Теперь группа Google по анализу угроз сообщила, что в ключевой момент атаки TeamPCP собственный тайный исследователь компании проник в группу, что позволило Google отслеживать серию хакерских атак изнутри, предупреждать о целях взлома и даже помогать срывать попытки группы использовать уязвимости жертв.

Сегодня на исследовательской конференции LABScon, организованной компанией SentinelOne, исследователь Google Threat Intelligence Group Остин Ларсен представит подробности расследования компании и внедрения агентов в TeamPCP на фоне беспрецедентной и хаотичной кампании этой группы по взлому цепочек поставок. По словам Ларсена, Google в конечном итоге проследила цепочку ошибок в операционной безопасности, предположительно допущенных одним из двух австралийцев, обвиняемых в том, что они являются ведущими членами хакерской группы, и передала ключевые идентификационные данные правоохранительным органам. Компания также получила информацию от ShinyHunters, другой печально известной киберпреступной группы, с которой TeamPCP сотрудничала, но которая позже выступила против хакеров, взламывающих цепочки поставок. И, пожалуй, самое удивительное, по словам Ларсена, у дочерней компании Google по безопасности Mandiant был тайный аналитик — не он сам — в ближайшем окружении группы почти с самого начала пребывания TeamPCP в центре внимания.

«Один из наших сотрудников много месяцев работал над установлением доверительных отношений с одним из актеров, приглашенных в команду TeamPCP, и поэтому его добавили в группу», — рассказал Ларсен в интервью WIRED перед своим выступлением на LABScon. «По сути, с самого первого дня Mandiant следила за всем происходящим за кулисами».

Родинка из TeamPCP

В конце прошлого месяца Рубен Иан Томсон и Луис Майкл Геблер, оба австралийцы в возрасте около 20 лет, были арестованы австралийской полицией в рамках совместного расследования при содействии ФБР. Им предъявлены обвинения в хакерских преступлениях, и Австралийская федеральная полиция (AFP) в пресс-релизе, в котором, в соответствии с австралийскими законами о защите частной жизни, их имена не были указаны, назвала их «основными участниками» TeamPCP. Эта хакерская группа, которая, по всей видимости, впервые появилась в сети в конце 2025 года, привлекла внимание общественности дерзкой серией каскадных атак на цепочки поставок : она неоднократно взламывала программное обеспечение с открытым исходным кодом, чтобы скрыть свое вредоносное ПО, что затем позволяло ей перехватывать учетные данные разработчиков программного обеспечения и внедрять свой вредоносный код в еще один широко используемый инструмент, повторяя цикл.

Например, начиная с этой весны, TeamPCP взломала сканер безопасности с открытым исходным кодом Trivy, инструмент интерфейса прикладного программирования ИИ LiteLLM, инфраструктуру компании Checkmarx, занимающейся безопасностью веб-приложений, библиотеку веб-приложений TanStack и корпоративную платформу ИИ Mistral AI. Эти повторяющиеся атаки на цепочки поставок, каждая из которых позволяла группе снова расширить свою сеть и привлечь новых жертв, в конечном итоге позволили хакерам взломать репозиторий кода с открытым исходным кодом GitHub, компанию по предоставлению данных Mercor и устройства сотрудников OpenAI, Европейской комиссии и многих других, имена которых не упоминались в публичных сообщениях. Время от времени группа использовала червя, известного как Mini Shai-Hulud, названного в честь песчаных червей из «Дюны» , чтобы автоматизировать свои взломы и расширить охват еще большего числа жертв. (Название, по-видимому, также отсылает к более раннему червю Shai-Hulud, разработанному хакерами для попытки аналогичного подхода в сентябре 2025 года, хотя до сих пор неясно, участвовала ли TeamPCP или кто-либо из ее предполагаемых членов в этой более ранней кампании вторжения.)

Ларсен теперь утверждает, что в марте, как раз когда TeamPCP начала свою безумную атаку на цепочки поставок, собственный аналитик Google, работавший под прикрытием, был приглашен в ближайшее окружение хакеров. Этот внутренний источник, имя которого Ларсен отказался раскрыть, был одним из примерно 12 членов группы, получивших доступ к основному чату, который TeamPCP называла CanisterWorm.

«Вы должны понимать, что мы провернули, возможно, самую масштабную операцию по организации цепочки поставок в современной истории», — написал один из членов команды TeamPCP в просочившихся в сеть переписках.

Майкл Флетчер, бывший аналитик AFP, ныне работающий в отделе исследования угроз австралийской телекоммуникационной компании, говорит, что примерно в то же время он обратился к Ларсену с вопросом о методах мониторинга членов и деятельности группы. По его словам, Ларсен в ответ попросил Флетчера с осторожностью относиться к хакерам, потому что один из них был «дружелюбным», вспоминает Флетчер. «Я подумал: черт возьми, вы все уже давно внутри » , — говорит он.

По словам Ларсена, тайный аналитик Google получил доступ к серверу, где TeamPCP хранила множество учетных данных, украденных у многочисленных жертв: имена пользователей, пароли и токены доступа, полученные в результате взлома и, по всей видимости, планировавшиеся использовать для вымогательства у целевых компаний. Поэтому команда Google решила принять меры, чтобы предупредить жертв и предотвратить схему выкупа TeamPCP. «Я подумал: как мы можем как можно быстрее сорвать их кампанию, прежде чем произойдут новые взломы? — говорит Ларсен. — Давайте помешаем им. Это была моя цель».

Вместо того чтобы напрямую оповещать владельцев украденных учетных данных в компаниях-жертвах, что, по словам Ларсена, заняло бы слишком много времени, учитывая огромное количество компаний, подвергшихся взлому, Google сначала обратился к поставщикам услуг, где эти учетные данные могли быть использованы, таким как Amazon Web Services и Microsoft, чтобы аннулировать учетные данные и предотвратить их использование хакерами. Ларсен и его команда разослали сотни уведомлений по электронной почте этим поставщикам, а затем и жертвам, многие из которых получили немедленный ответ.

Примерно в то же время, по словам Ларсена, благодаря доступу Google к внутреннему чату TeamPCP компания узнала, что кто-то из ближайшего окружения группы, помимо взломов цепочки поставок, использовал инструмент искусственного интеллекта для разработки уязвимости нулевого дня в широко используемом программном обеспечении для авторизации, которая позволяла хакерам обходить двухфакторную аутентификацию. Команда Google получила копию кода эксплойта, протестировала его и обнаружила, что с несколькими доработками он работает — редкий случай использования в реальных условиях созданной с помощью ИИ техники взлома, которая воспользовалась ранее неизвестной уязвимостью программного обеспечения. Google предупредила разработчика программного обеспечения, который смог устранить эту уязвимость. (Инцидент был описан в тематическом исследовании, опубликованном Google в мае , но без упоминания TeamPCP и подробностей о том, как Google узнала об эксплойте.)

Очередные предательства, небрежная оперативная безопасность

Как выяснилось, аналитик Google был не единственным предателем в рядах TeamPCP.

По словам Ларсена, еще до попытки Google сорвать планы группы, она испытывала трудности с получением прибыли от огромного объема украденных данных, которые, по данным AFP, включали учетные данные более полумиллиона пользователей. Ларсен подсчитал, что, несмотря на этот объем, группа получала лишь десятки тысяч долларов в виде вымогательских платежей, а не миллионы, как аналогичные группы. Поэтому, пытаясь лучше монетизировать свою хакерскую деятельность, TeamPCP пригласила к сотрудничеству несколько других киберпреступных групп, предоставив им доступ к украденным учетным данным в обмен на процент от любых вымогательских платежей, которые им удавалось получить.

Одним из таких партнеров-киберпреступников была группа ShinyHunters, существовавшая уже много лет и отличавшаяся высокой эффективностью. Она вымогала миллионы долларов у жертв путем кражи данных и использования программ-вымогателей, в том числе путем взлома образовательной программной платформы Canvas , который впоследствии парализовал работу тысяч школ по всей территории США. По словам Ларсена, примерно в апреле, через несколько недель после начала сотрудничества с TeamPCP, ShinyHunters перешли на сторону злоумышленников, осуществляя собственные вымогательства с использованием учетных данных TeamPCP, но не выплачивая им их долю. ShinyHunters даже без запроса предоставили Ларсену полный лог группового чата на сервере TeamPCP, не зная, что у него уже есть доступ через агента Google.

ShinyHunters также насмехались над TeamPCP в сообщениях на X, и их более громкие выпады привлекли внимание последней группы. TeamPCP ответила сужением своего ближайшего круга, переносом данных на новый сервер и изгнанием ShinyHunters и нескольких других членов группы из чата CanisterWorm, включая тайного аналитика Google.

«Просто удалите это и перестаньте делиться всякой ерундой с охотниками за блестяшками», — написал один из лидеров TeamPCP.

Даже без этого внутреннего источника, по словам Ларсена, более традиционная работа цифрового детектива позволила ему собрать воедино следы, которые в конечном итоге позволили ему узнать личность Томсона, одного из двух мужчин, обвиняемых в якобы «ключевой» роли в TeamPCP. Ларсен обнаружил в утечке пользовательских данных с хакерского форума BreachForums, что один из самых активных пользователей в чате CanisterWorm был зарегистрирован с адресом Gmail sheepstealing@gmail.com. Просматривая архивы других форумов, он обнаружил спор 2019 года между пользователем под псевдонимом sheepstealing и продавцом пиратских ключей Microsoft Office, в котором пользователь sheepstealing потребовал возврата средств на счет PayPal, связанный с адресом электронной почты ruben@thomsonfamily.net.au.

По словам Ларсена, после того как TeamPCP перенесла украденные учетные данные на сервер, размещенный у другого провайдера, Google смогла узнать о некотором содержимом нового сервера — через того, кого Ларсен называет «доверенным партнером» — а также о том, что резервные копии создавались на Google Диск с той же учетной записью sheepstealing@gmail.com.

«Когда мы это увидели, я просто подумал: не может быть. Зачем ему отправлять все эти незаконные, украденные материалы на Google Диск, который связан с ним самим?» — говорит Ларсен. «Тогда мы и сообщили об этом ФБР». Ларсен говорит, что получил заинтересованный ответ от агента в течение нескольких минут. (Возможно, Ларсен был не единственным, кто опознал Томсона или других предполагаемых хакеров TeamPCP до их ареста. Например, журналист и специалист по кибербезопасности Брайан Кребс в прошлом месяце опубликовал статью , в которой изложил свои собственные улики, которые привели к установлению личности Томсона.)

В заявлении для WIRED ФБР отказалось комментировать какое-либо «активное расследование», но отметило, что «может подтвердить, что мы стремимся усилить воздействие на противников посредством партнерства, как это задокументировано в нашей недавно опубликованной киберстратегии ФБР ». Федеральная полиция США отказалась от комментариев.

По словам Ларсена, примерно через месяц после его сообщения правоохранительные органы США завершили юридическую процедуру запроса данных Томсона у Google на основании ордера. В конце прошлого месяца Томсон был арестован австралийской полицией, которая опубликовала видео , на котором его выводят из дома в пригороде в толстовке Northface и спортивных штанах.

Связаться с Томсоном и Геблером, другим предполагаемым членом TeamPCP, который был арестован, для получения комментариев не удалось.

Ларсен подчеркнул, что тайный аналитик Google, работавший в TeamPCP, никогда не занимался незаконным взломом и даже не поощрял взломы, совершенные группой. «Они были словно муха на стене, говорили лишь то, что не вызывало подозрений», — говорит Ларсен. «Наши действия ограничены определенными рамками».

Однако Ларсен также отмечает, что работа его команды по активному пресечению хакерской атаки TeamPCP является частью новых изменений в Google. В конце концов, расследование началось примерно в то же время, что и создание нового подразделения Google по борьбе с киберпреступностью, которому официально поручено применять более агрессивный подход к борьбе с киберпреступностью и хакерскими атаками, спонсируемыми государством.

«Группа Google по анализу угроз уделяет особое внимание дестабилизации. Это одна из наших главных задач сейчас», — говорит Ларсен. «Составление отчетов имеет ограниченную эффективность. Следующий шаг — принятие мер по защите пользователей и клиентов».