До ареста и предъявления обвинений двоим предполагаемым участникам в Австралии в прошлом месяце хакерская группа, известная как TeamPCP, совершила серию взломов, не имеющих себе равных в истории. Она заразила сотни программ с открытым исходным кодом своим вредоносным ПО, похищала аккаунты разработчиков, чтобы поддерживать эту кампанию взломов цепочки поставок, и даже выпустила червя в тематике «Дюны», распространяющегося самостоятельно, чтобы автоматизировать процесс, в результате чего было скомпрометировано более тысячи компаний.
Теперь группа по анализу угроз Google раскрыла, что в ключевой момент разгула TeamPCP исследователь компании под прикрытием втерся в группу — что позволило Google наблюдать атаку изнутри, предупреждать возможные жертвы и даже помогать срывать попытки злоумышленников эксплуатировать тех, кого они вскоре собирались шантажировать.
На конференции по исследованиям LABScon, организованной компанией SentinelOne, сотрудник группы по анализу угроз Google Остин Ларсен сегодня представит подробности расследования Google и внедрения в TeamPCP на фоне беспрецедентной, хаотичной кампании взломов цепочки поставок. По словам Ларсена, Google в конце концов проследил цепочку ошибочных операций по обеспечению безопасности, якобы допущенных одним из двух австралийцев, которым сейчас предъявлены обвинения в качестве ведущих членов группы, и передал ключевые идентифицирующие данные правоохранительным органам. Компания также получила разведданные от ShinyHunters, другой печально известной киберпреступной группы, с которой TeamPCP сотрудничала, но которая позже предала хакеров цепочки поставок.
И, возможно самое неожиданное, Ларсен говорит, что подразделение Google по безопасности Mandiant имело под прикрытием аналитика — не его самого — внутри внутреннего круга группы почти с самого начала того периода, когда TeamPCP привлекла к себе внимание.
Работа под прикрытием
«Одна из наших персонажей работала в течение многих месяцев, чтобы завоевать доверие одного из акторов, приглашенных в TeamPCP, и поэтому была добавлена в группу», — сказал Ларсен в интервью WIRED перед своим докладом на LABScon. «То есть, по сути, почти с первого дня Mandiant наблюдала за всем за кулисами».
Поздно в прошлом месяце Рубен Иэн Томсон и Луис Майкл Геблер, оба австралийцы в начале своих 20 лет, были арестованы австралийской полицией в рамках совместного расследования при содействии ФБР, им были предъявлены обвинения в хакерских преступлениях, и Австралийская федеральная полиция (AFP) — в пресс-релизе, который, из-за австралийских законов о конфиденциальности, не называл их поименно — охарактеризовала их как «основных участников» TeamPCP.
Хакерская группа, по-видимому, впервые появившаяся в сети в конце 2025 года, прославилась наглой серией каскадных атак на цепочку поставок: она многократно компрометировала программное обеспечение с открытым исходным кодом, чтобы скрыть свое вредоносное ПО, что затем позволяло похищать учетные данные разработчиков и внедрять свой вредоносный код в другой широко используемый инструмент, повторяя цикл вновь и вновь.
Например, начиная с этой весны, TeamPCP компрометировала сканер безопасности с открытым исходным кодом Trivy, инструмент API для ИИ LiteLLM, инфраструктуру фирмы по безопасности веб-приложений Checkmarx, библиотеку веб-приложений TanStack и корпоративную платформу ИИ Mistral AI. Эти повторяющиеся атаки на цепочку поставок, каждая из которых давала группе возможность вновь расширить свою сеть жертв, в конечном итоге позволили хакерам взломать репозиторий с открытым исходным кодом GitHub, фирму по контрактованию данных Mercor и устройства сотрудников в OpenAI, Европейской комиссии и многих других организациях, чьи имена в публичных сообщениях не назывались.
Автоматизация атак
Временами группа развертывала червя под названием Mini Shai‑Hulud, названного в честь песчаных червей из «Дюны», чтобы автоматизировать взломы и масштабироваться до еще большего числа жертв. (Название также, по-видимому, отсылает к более раннему червю Shai‑Hulud, который хакеры создали для похожего подхода в сентябре 2025 года, хотя пока неясно, были ли TeamPCP или какие-то из ее предполагаемых членов причастны к той более ранней кампании.)
Ларсен теперь говорит, что в марте, как раз когда TeamPCP начинала свою лихорадочную кампанию атак на цепочку поставок, собственный аналитик Google под прикрытием был приглашен войти во внутренний круг хакеров. Этот внутренний источник, имя которого Ларсен отказался раскрывать, был одним из примерно 12 членов группы, которым дали доступ к основному чату, который TeamPCP называла CanisterWorm.
«Вы, ребята, должны понимать, что мы провернули, возможно, самую большую атаку на цепочку поставок, когда‑либо зафиксированную в современной истории», — написал один из членов TeamPCP в утекших чатах.
Профилирование злоумышленников
Майкл Флетчер, бывший аналитик AFP, ныне работающий в отделе исследования угроз в австралийской телеком-компании, говорит, что приблизительно в то же время обратился к Ларсену по поводу методов наблюдения за членами группы и их активностью. По его словам, Ларсен ответил, попросив Флетчера действовать осторожно, потому что один из них был «доброжелательным», вспоминает Флетчер. «Я подумал: чёрт, вы все были внутри так рано», — говорит он.
Аналитик Google под прикрытием, по словам Ларсена, получил доступ к серверу, где TeamPCP хранила свой сундук с украденными учетными данными: именами пользователей, паролями и токенами доступа, полученными в ходе взломов и которые, по всей видимости, группа планировала использовать для вымогательства у компаний. Поэтому команда Google решила действовать, чтобы предупредить жертв и помешать схеме вымогательства TeamPCP. «Я думал: как мы можем как можно быстрее сорвать их кампанию, прежде чем произойдут новые компрометации?» — говорит Ларсен. «Давайте попортим то, что они делают. Это была моя цель».
Предупреждение жертв
Вместо того чтобы прямо оповещать владельцев украденных учетных данных в пострадавших компаниях — что, по словам Ларсена, заняло бы слишком много времени с учетом огромного количества скомпрометированных организаций — Google сначала связался с провайдерами, где эти учетные данные могли быть использованы, такими как Amazon Web Services и Microsoft, чтобы отозвать скомпрометированные учетные данные и не дать хакерам ими воспользоваться. Ларсен и его команда разослали сотни уведомительных писем этим провайдерам, а затем пострадавшим компаниям; многие из писем получили оперативные ответы.
Примерно в то же время, по словам Ларсена, доступ Google к внутреннему чату TeamPCP также позволил ему узнать, что кто‑то из внутреннего круга, отдельно от атак на цепочку поставок, использовал инструмент ИИ для разработки zero‑day эксплойта для широко используемого программного обеспечения для входа в систему, который позволял хакерам обходить двухфакторную аутентификацию. Команда Google получила копию кода эксплойта, протестировала его и обнаружила, что с некоторыми доработками он работает — редкий пример реального использования техник, созданных ИИ, для эксплуатации ранее неизвестной уязвимости в ПО. Google предупредила разработчика этого ПО, который смог заделать уязвимость.
Интригующие повороты
Оказалось, что аналитик Google под прикрытием не был единственным «предателем» в среде TeamPCP. Даже до вмешательства Google, утверждает Ларсен, группе было трудно извлечь прибыль из ее огромной коллекции украденных данных, которая, по данным AFP, включала более полумиллиона учетных записей пользователей. Ларсен оценивает, что несмотря на такой объем похищенного, группа получала лишь десятки тысяч долларов в виде выкупов, а не миллионы, которые обычно зарабатывают похожие группы.
Поэтому в попытке лучше монетизировать свои взломы TeamPCP пригласила несколько других киберпреступных групп к партнерству, предоставив им доступ к украденным учетным данным в обмен на долю от любых вымогательских выплат. Одним из таких партнеров стал ShinyHunters, многолетняя, чрезвычайно продуктивная хакерская группа, которая вымогала миллионы долларов у жертв через кражу данных и программы-вымогатели, в том числе в взломе образовательной платформы Canvas, который позже парализовал тысячи школ в США.
Около апреля, через несколько недель после начала сотрудничества с TeamPCP, ShinyHunters, по словам Ларсена, предала партнеров, начав самостоятельно вымогать по учетным данным TeamPCP, не отдавая хакерам их долю. ShinyHunters даже без запроса поделилась с Ларсеном полным журналом чата группы на сервере TeamPCP — не зная, что он уже имеет доступ через агента Google под прикрытием.
Ответ TeamPCP
ShinyHunters также насмехался над TeamPCP в сообщениях в X, и их громкий переворот привлек к себе внимание TeamPCP. Группа ответила сужением своего внутреннего круга, перемещением данных на новый сервер и изгнанием ShinyHunters и нескольких других участников из чата CanisterWorm, включая аналитика Google под прикрытием. «Просто удалите это и перестаньте делиться дерьмом с shinyhunters», — написал один из лидеров TeamPCP.
Даже без этого внутреннего источника, однако, Ларсен говорит, что более традиционная цифровая детективная работа позволила ему составить цепочку улик, которая в конечном счете помогла ему узнать личность Томсона, одного из двоих мужчин, обвиняемых в якобы «ключевой» роли в TeamPCP. Ларсен нашел в утечке пользовательских данных с форума хакеров BreachForums, что один из самых активных псевдонимов в чате CanisterWorm был зарегистрирован с адресом Gmail sheepstealing@gmail.com.
Просматривая другие архивы форумов, он обнаружил спор 2019 года между пользователем с псевдонимом sheepstealing и продавцом пиратских ключей Microsoft Office, в котором пользователь sheepstealing требовал возврат на PayPal-аккаунт, привязанный к адресу ruben@thomsonfamily.net.au.
Поиски доказательств
После того как TeamPCP переместила украденные учетные данные на сервер, размещенный у другого провайдера, Ларсен говорит, что Google удалось узнать о некоторых содержимом нового сервера — через, как он описывает, «доверенного партнера» — и также о том, что оно делалось резервное копирование на Google Drive, связанный с тем же аккаунтом sheepstealing@gmail.com.
«Когда мы увидели это, я подумал: не может быть. Почему он будет отправлять все это незаконно украденное на Google Drive, который привязан к нему самому?» — говорит Ларсен. «Тогда мы передали наводку ФБР». Ларсен говорит, что получил заинтересованный ответ от агента в течение нескольких минут.
(Ларсен мог не быть единственным, кто идентифицировал Томсона или других предполагаемых хакеров TeamPCP до их ареста. Журналист и исследователь кибербезопасности Брайан Кребс, например, опубликовал в прошлом месяце материал, в котором изложил свой набор улик, приведших к идентичности Томсона.)
В заявлении WIRED ФБР отказалось комментировать какое‑либо «активное расследование», но отметило, что «стремится увеличивать влияние на противников через партнерства, как задокументировано в нашей недавно опубликованной киберстратегии ФБР». AFP отказалась от комментариев.
Арест преступников
Примерно через месяц после его наводки, по словам Ларсена, американские правоохранительные органы завершили юридическую процедуру запроса данных Томсона у Google через ордер. Поздно в прошлом месяце Томсон был арестован австралийской полицией, которая опубликовала видео, где его выводят из пригорожного дома в худи North Face и спортивных штанах.
Связаться с Томсоном или Геблером, другим арестованным предполагаемым участником TeamPCP, для комментариев не удалось.
Миссия Google
Ларсен осторожно отметил, что аналитик Google под прикрытием внутри TeamPCP никогда не участвовал в каких-либо незаконных взломах и даже не поощрял нарушения группы. «Он был мухой на стене, говорил ровно столько, чтобы не вызвать подозрений», — говорит Ларсен. «У нас есть ограничения в том, что мы делаем».
Но Ларсен также отмечает, что работа его команды по активному срыву атак TeamPCP — часть нового сдвига внутри Google. Расследование, в конце концов, началось примерно в то же время, когда Google запустила свое новое подразделение по киберсрывам (Cyber Disruption Unit), официально поставившее задачу более агрессивно бороться с киберпреступностью и хакерскими атаками, поддерживаемыми государствами.
«Группа по анализу угроз Google сделала акцент на срыве. Это теперь одна из наших миссий», — говорит Ларсен. «Написание отчетов может быть полезно лишь в определенной мере. Действия по защите пользователей и клиентов — это следующий шаг».
Эта история первоначально появилась на wired.com.