Google a avut un om sub acoperire în gruparea de hackeri care a spart GitHub și Comisia Europeană

Google afirmă că un analist sub acoperire al Mandiant, subsidiara sa de securitate, a intrat în martie în cercul restrâns al TeamPCP. Accesul a fost folosit pentru a avertiza victimele, a ajuta la revocarea unor date de acces furate și a trimite către FBI indicii despre identitatea unui presupus lider al grupului, potrivit WIRED. În aceeași campanie, TeamPCP a compromis sute de programe open-source și a ajuns la peste 1.000 de companii afectate.

Informațiile au fost prezentate de Austin Larsen, cercetător în Google Threat Intelligence Group, într-un interviu pentru WIRED și într-o prezentare la conferința LABScon. Cazul este relevant dincolo de componenta penală: Google descrie o schimbare de metodă, de la documentarea atacurilor la intervenție directă asupra infrastructurii și datelor de acces folosite de atacatori.

TeamPCP, apărut online aparent la sfârșitul lui 2025, a operat prin atacuri în cascadă asupra lanțului de aprovizionare software. Grupul a compromis programe open-source, a furat conturi de dezvoltatori și a folosit aceste accesuri pentru a introduce cod malițios în alte instrumente răspândite, repetând ciclul pentru a obține noi victime și noi credențiale. Pentru scalare, a distribuit și viermele Mini Shai-Hulud, cu tematică Dune.

În această primăvară, campania a lovit scannerul de securitate open-source Trivy, instrumentul pentru interfețe de programare AI LiteLLM, infrastructura firmei de securitate web Checkmarx, biblioteca web TanStack și platforma enterprise de AI Mistral AI. Din aceste compromiteri succesive, grupul a ajuns apoi la depozitul de cod open-source GitHub, la firma de contractare de date Mercor, la dispozitivele unor angajați OpenAI, la Comisia Europeană și la alte victime care nu au fost identificate public.

Analistul Mandiant a intrat în grup aproape de la începutul operațiunii

Potrivit lui Larsen, persona folosită de Google construia de luni bune încredere cu unul dintre actorii invitați ulterior în TeamPCP. Acest pas a dus la admiterea ei în grup chiar când campania se accelera.

„Una dintre identitățile noastre de acoperire construia de multe luni încredere cu unul dintre actorii care fusese invitat să se alăture TeamPCP și, astfel, a fost adăugată în grup. Practic, aproape din prima zi, Mandiant urmărea totul din culise”, a declarat Austin Larsen, cercetător în Google Threat Intelligence Group, pentru WIRED.

Analistul a devenit una dintre aproximativ 12 persoane care aveau acces la canalul intern numit CanisterWorm. Pentru o operațiune care încerca să extindă rapid atacurile prin proiecte software legitime, accesul la acest nucleu intern a oferit Google vizibilitate directă asupra infrastructurii, conversațiilor și țintelor.

Larsen a relatat și că un fost analist al poliției federale australiene, Michael Fletcher, care lucrează acum în divizia de threat research a companiei australiene de telecomunicații Telstra, l-a abordat în acea perioadă pentru metode de monitorizare a grupului. Larsen i-ar fi transmis să fie prudent, pentru că unul dintre membri era „prietenos”, semn că infiltrarea era deja în curs.

Google a urmărit serverul cu nume de utilizator, parole și tokenuri furate

Accesul intern nu a rămas la nivelul conversațiilor. Larsen spune că analistul Mandiant a ajuns și pe un server pe care TeamPCP stoca datele de acces obținute din atacuri: nume de utilizator, parole și tokenuri de acces. Grupul ar fi intenționat să folosească aceste credențiale pentru extorcare.

Volumul era semnificativ. Potrivit WIRED, care citează Poliția Federală Australiană (AFP), TeamPCP deținea date de acces pentru peste jumătate de milion de utilizatori. Totuși, Larsen estimează că monetizarea reală a fost mult sub dimensiunea colectării: grupul obținea doar zeci de mii de dolari din plăți de extorcare, în timp ce grupări similare au strâns milioane de dolari.

Diferența dintre peste jumătate de milion de date de acces și venituri de ordinul zecilor de mii de dolari explică de ce grupul a încercat să transforme rapid accesul tehnic în flux de numerar. În loc să abordeze individual fiecare victimă de la capăt, Google a ales o metodă mai rapidă pe partea defensivă: blocarea punctelor în care acele date de acces puteau fi folosite.

Echipa a trimis sute de e-mailuri de notificare către furnizori unde puteau fi utilizate datele furate, inclusiv Amazon Web Services și Microsoft, pentru revocarea datelor de acces. Abia după acel pas au fost notificate și victimele. Larsen spune că multe dintre aceste mesaje au primit răspuns imediat.

Pentru companiile care operează infrastructură cloud sau dezvoltă software, ordinea intervenției contează. Revocarea la furnizor scurtează timpul în care o parolă sau un token furat mai poate fi monetizat de atacator. Într-o campanie care compromitea în lanț produse și conturi de dezvoltatori, viteza de invalidare a accesului era mai importantă decât contactarea succesivă a fiecărei organizații compromise.

Conversațiile din interior au dus și la oprirea unui exploit zero-day creat cu AI

Unul dintre cele mai sensibile rezultate ale infiltrării a venit dintr-o discuție separată de atacurile asupra lanțului software. Din chatul intern, Google a aflat că un membru al grupului folosea un instrument AI pentru a dezvolta un exploit zero-day într-un software de autentificare utilizat pe scară largă. Un zero-day este o vulnerabilitate necunoscută public la momentul folosirii ei, iar în acest caz exploitul ar fi permis ocolirea autentificării în doi pași.

Echipa Google a obținut codul exploitului, l-a testat și a constatat că funcționa după câteva modificări. WIRED descrie acest episod drept un caz rar în care o tehnică de hacking creată cu ajutorul AI a exploatat o vulnerabilitate software necunoscută anterior și folosită efectiv în teren, nu doar demonstrată teoretic.

După testare, dezvoltatorul software-ului afectat a fost avertizat și a remediat vulnerabilitatea. Pentru piața de securitate, episodul nu validează generic promisiunile despre „AI care hackuiește singură”, dar arată că instrumentele AI pot reduce timpul necesar pentru rafinarea unui exploit care ocolește mecanisme de autentificare deja răspândite în produse enterprise.

TeamPCP a încercat să vândă accesul altor grupări după ce extorcarea directă a adus prea puțin

Înainte de intervenția Google, TeamPCP se confrunta deja cu o problemă de randament. Deși colectase un volum mare de credențiale, veniturile estimate de Larsen rămâneau la nivelul zecilor de mii de dolari. Pentru a crește monetizarea, grupul a invitat și alte grupări de criminalitate cibernetică să folosească datele furate în schimbul unei cote din sumele obținute prin extorcare.

În jurul lunii aprilie, TeamPCP a lucrat cu ShinyHunters. Parteneriatul a degradat rapid disciplina internă a grupului. Potrivit lui Larsen, ShinyHunters ar fi folosit datele de acces pentru propriile extorcări fără să vireze partea convenită către TeamPCP.

Situația a mers mai departe decât concurența pentru bani. ShinyHunters i-a transmis nesolicitat lui Larsen un jurnal complet al conversațiilor de pe serverul TeamPCP, fără să știe că Google avea deja acces prin analistul infiltrat. Astfel, în interiorul aceleiași operațiuni au coexistat două surse de informații pentru Google: analistul infiltrat al Mandiant și un partener criminal care își trăda colaboratorul.

După această ruptură, TeamPCP și-a restrâns cercul intern, a mutat datele pe un alt server și i-a exclus din CanisterWorm pe ShinyHunters, pe analistul Google și pe alți membri. Pentru Google, pierderea accesului direct nu a închis investigația. În acel moment, componenta de investigație tehnică a trecut mai mult către corelarea identităților și a infrastructurii folosite.

Un alias din chat, un cont PayPal și un Google Drive au dus la Ruben Ian Thomson

Larsen spune că a reconstituit identitatea lui Ruben Ian Thomson pornind de la greșeli operaționale făcute de un utilizator activ din CanisterWorm. Într-o scurgere de date din forumul BreachForums, unul dintre aliasurile cele mai active din chat apărea înregistrat cu o adresă Gmail.

Apoi, în alte arhive de forum, Larsen a găsit o dispută din 2019 între un utilizator cu pseudonimul sheepstealing și un vânzător de chei piratate Microsoft Office. În acea dispută, utilizatorul cerea rambursarea către un cont PayPal asociat aceleiași adrese Gmail.

După mutarea datelor furate pe un server găzduit de alt furnizor, Google a aflat, printr-un partener de încredere descris astfel de Larsen, o parte din conținutul noului server. Tot atunci, compania a văzut că acea infrastructură era salvată și într-un Google Drive legat de aceeași adresă Gmail identificată anterior.

„Când am văzut asta, m-am gândit: Nu se poate.”

Larsen afirmă că în acel moment a transmis FBI-ului informațiile despre Thomson. Aproximativ o lună mai târziu, autoritățile americane finalizaseră procedura legală pentru a solicita datele de la Google prin mandat. La sfârșitul lunii trecute, Thomson a fost arestat de poliția australiană.

Doi suspecți au fost arestați și puși sub acuzare, fără o condamnare până acum

La sfârșitul lunii trecute, Ruben Ian Thomson și Louis Michael Gaebler, ambii australieni aflați la începutul vârstei de 20 de ani, au fost arestați de poliția australiană într-o anchetă comună cu FBI și au fost acuzați de infracțiuni informatice. AFP i-a descris drept „participanți principali” la TeamPCP, fără să le publice numele în comunicat din cauza legislației australiene privind protecția vieții private.

Descrierea rolurilor lor trebuie separată de stadiul juridic al cazului. Cei doi sunt suspecți acuzați, nu persoane condamnate. WIRED arată că Thomson și Gaebler nu au putut fi contactați pentru comentarii.

În relatarea lui Larsen, Thomson ar fi jucat un rol „cheie” în TeamPCP. Această formulare rămâne însă poziția investigatorului din Google, nu un fapt stabilit definitiv de o instanță.

Google prezintă cazul ca pe o trecere de la rapoarte la intervenție directă, potrivit lui Larsen

Larsen insistă că analistul Mandiant infiltrat în TeamPCP nu a participat la hacking ilegal și nu a încurajat atacurile. Rolul său, spune el, a fost limitat la menținerea acoperirii și la observarea activităților grupului.

Acest detaliu contează pentru felul în care Google vrea să își definească poziția operațională. Compania descrie investigația ca parte a unei etape noi, desfășurate în perioada lansării Cyber Disruption Unit, unitate căreia i-a fost atribuită o abordare mai agresivă împotriva criminalității informatice și a atacurilor sponsorizate de state.

Diferența față de modelul clasic de threat intelligence este explicită în declarațiile lui Larsen. Nu mai este vorba doar despre rapoarte pentru clienți sau despre indicatori de compromitere publicați după atac, ci despre blocarea datelor de acces, notificarea furnizorilor și transmiterea de date către autorități în timp ce campania era încă activă.

Austin Larsen a rezumat schimbarea astfel: „Google Threat Intelligence Group a pus accent pe perturbare. Aceasta este acum una dintre misiunile noastre. Scrierea de rapoarte poate fi utilă doar până la un punct. A acționa pentru a proteja utilizatorii și clienții, acesta e pasul următor.”

Pentru companiile dependente de software open-source și de conturi de dezvoltatori, cazul TeamPCP arată costul operațional al unui atac în lanț: un singur compromis într-un instrument folosit pe scară largă poate propaga accesul către alți furnizori, către infrastructură cloud și către dispozitive interne. În acest dosar, răspunsul Google a combinat trei niveluri de intervenție documentate de WIRED: acces intern în grup, revocarea rapidă a datelor de acces la furnizori precum Amazon Web Services și Microsoft și trimiterea de indicii către FBI, înaintea arestării lui Thomson la sfârșitul lunii trecute.

Parteneri

Articole recomandate din rețeaua noastră

GetPonyPermisul se suspendă de la 51 km/h peste limită. La 71 km/h în plus, șoferul pierde imediat dreptul de a conduceBravonetAdela Popescu îl ținea de degetul mic de la picior pe Radu Vâlcan ca să afle adevărul, din gelozieLylaCum schimbi rutina intimă în cuplu, pornind de la preferințele comune și un singur lucru nouRevista IoanaPelicula capsulelor de spălat vase se dizolvă în apă. Ce înseamnă asta și cum le foloseștiNews24Tunelurile A1 Margina-Holdea au fost străpunse. Circulația fără întrerupere între Boița și Nădlac este estimată pentru prima jumătate a anului viitorDolce SportOctavian Popescu are sprijinul patronului Levadiakos, spune Florin Vulturar