Google разоблачила хакеров TeamPCP с помощью агента
Киберпреступная группировка TeamPCP, заявившая о себе в конце 2025 года, развернула серию скоординированных атак на открытое программное обеспечение. Методика преступников была проста, но эффективна: они внедряли вредоносный код в популярные инструменты разработчиков, похищали учетные данные и использовали их для компрометации других целей.
Масштаб атак и использование автоматизации
Под удар попали инструменты, которыми пользуются тысячи разработчиков по всему миру: сканер безопасности Trivy, платформа для работы с искусственным интеллектом LiteLLM, инфраструктура Checkmarx, библиотека TanStack и платформа Mistral AI. Хакерам удалось получить доступ к хранилищам GitHub, сервису Mercor, а также к устройствам сотрудников OpenAI и Европейской комиссии. В общей сложности атакам подверглись более тысячи организаций.
Для ускорения и масштабирования своих операций киберпреступники создали самораспространяющийся червь Mini Shai-Hulud, названный в честь существ из научно-фантастического произведения Фрэнка Геберта "Дюна".
Внедренный агент помешал вымогательству
В марте 2026 года, когда волна атак достигла пика, аналитик из структуры Mandiant внедрился в доверие одного из участников преступной группировки и получил доступ к закрытому каналу CanisterWorm, где находилось около 12 ключевых членов организации. Благодаря этому шагу компания получила доступ к серверу с украденными базами данных и ключами доступа свыше 500 тысяч пользователей.
Вместо того чтобы связываться с каждой пострадавшей компанией по отдельности, Google направила сотни уведомлений облачным провайдерам, включая Amazon Web Services и Microsoft. Это позволило аннулировать украденные токены до того, как злоумышленники смогли их монетизировать.
Специалисты Google также перехватили эксплойт нулевого дня для обхода двухфакторной аутентификации, который один из хакеров разработал с помощью инструментов искусственного интеллекта. Код был проверен, его действенность подтверждена, и информация передана разработчикам для срочного исправления уязвимости.
Ошибки безопасности и задержания лидеров
Группировка привлекла ShinyHunters для реализации украденной информации, однако в апреле 2026 года те присвоили себе базы данных и начали самостоятельно требовать выкуп. Более того, ShinyHunters предоставили Google полные логи внутренних переговоров TeamPCP, не зная, что у компании уже был свой человек внутри организации.
После раскрытия утечки преступники переместились на новый сервер и исключили посторонних из нового канала. Однако Google продолжила расследование и обнаружила критическую ошибку: хакеры автоматически сохраняли резервные копии украденных материалов на облачном диске, привязанном к личному электронному адресу одного из участников.
Получив неоспоримые доказательства связи между аккаунтом и похищенными данными, Google передала информацию Федеральному бюро расследований. В конце августа 2026 года Федеральная полиция Австралии задержала двух жителей страны - Рубена Иана Томсона и Луи Майкла Геблера. Им предъявлены обвинения в руководстве киберпреступной группировкой и организации масштабных взломов.
Google уточнила, что её внедренный сотрудник не принимал участие в хакерских операциях и выполнял исключительно роль наблюдателя. Переход к активному блокированию киберпреступных операций стал частью новой стратегии специального подразделения компании - Cyber Disruption Unit.
