Antes de dois de seus supostos membros serem presos e accusados na Austrália no mês passado, o grupo de hackers conhecido como TeamPCP realizou uma onda de ataques cibernéticos sem precedentes na história. Eles contaminaram centenas de programas de código aberto com seus programas maliciosos, roubaram contas de desenvolvedores para perpetuar esses ataques à cadeia de suprimentos de software e até liberaram um verme autorreplicante com temática de Dune para automatizar o processo, acabando por violar mais de mil empresas.
Agora, o grupo de inteligência contra ameaças do Google revelou que, durante um momento crucial da investida do TeamPCP, um pesquisador undercover da própria empresa havia se infiltrado no grupo, permitindo que o Google monitorasse os ataques por dentro, alertasse os alvos das violações e até ajudasse a interromper as tentativas dos criminosos de explorar essas vítimas.
Em uma apresentação na conferência de pesquisa LABScon, o pesquisador do Grupo de Inteligência contra Ameaças do Google, Austin Larsen, apresentou detalhes sobre a investigação e infiltração da empresa no TeamPCP em meio à campanha caótica e sem precedentes de ataques à cadeia de suprimentos. Segundo Larsen, o Google acabou seguindo uma trilha de erros de segurança operacional supostamente cometidos por um dos dois australianos agora accusados de serem membros principais do grupo de hackers, e repassou detalhes-chave de identificação às autoridades.
A empresa também recebeu inteligência do ShinyHunters, outro grupo infamous de cibercriminosos que fez parceria com o TeamPCP, mas que depois se voltou contra os hackers da cadeia de suprimentos. E talvez o mais surpreendente, Larsen afirma que a subsidiária de segurança do Google, a Mandiant, tinha um analista undercover, não ele mesmo, dentro do círculo interno do grupo desde quase o início do período do TeamPCP sob os holofotes.
No final do mês passado, Ruben Ian Thomson e Louis Michael Gaebler, ambos australianos em seus primeiros vinte anos, foram presos pela polícia australiana em uma investigação conjunta com assistência do FBI, accusados de crimes de hacking e descritos pela Polícia Federal Australiana como participantes principais do TeamPCP. O grupo de hackers, que parece ter surgido pela primeira vez online no final de 2025, ganhou manchetes com uma série ousada de ataques em cascata à cadeia de suprimentos.
Começando nesta primavera, por exemplo, o TeamPCP comprometeu o scanner de segurança de código aberto Trivy, a ferramenta de interface de programação de aplicativos de inteligência artificial LiteLLM, a infraestrutura da empresa de segurança de aplicativos web Checkmarx, a biblioteca de aplicativos web TanStack e a plataforma de inteligência artificial corporativa Mistral AI. Esses ataques repetidos à cadeia de suprimentos permitiram que os hackers eventualmente violassem o repositório de código aberto Github, a empresa de contratação de dados Mercor e dispositivos de funcionários da OpenAI, da Comissão Europeia e de muitos outros que permaneceram sem nome nas reportagens públicas.
Em alguns momentos, o grupo implantou um verme conhecido como Mini Shai-Hulud, nomeado em referência aos vermes das areias em Dune, para automatizar seus ataques e escalar para ainda mais vítimas.
Larsen agora afirma que em março, exatamente quando o TeamPCP estava começando sua frenética onda de ataques à cadeia de suprimentos, o próprio analista undercover do Google foi convidado para se juntar ao círculo interno dos hackers. Essa fonte interna, cujo nome Larsen se recusou a revelar, era um dos cerca de 12 membros do grupo que tinham acesso a um chat central que o TeamPCP chamava de CanisterWorm.
O analista undercover do Google, segundo Larsen, ganhou acesso a um servidor onde o TeamPCP estava armazenando seu tesouro de credenciais roubadas de suas muitas vítimas: os nomes de usuário, senhas e tokens de acesso que havia obtido por meio de seus ataques e aparentemente planejava usar para extorquir as empresas-alvo.
Por isso, a equipe do Google decidiu tomar medidas para alertar as vítimas e impedir o esquema de resgate do TeamPCP. Em vez de focar em alertar diretamente os proprietários das credenciais roubadas nas empresas vítimas, o Google primeiro entrou em contato com os provedores onde essas credenciais poderiam ser usadas, como a Amazon Web Services e a Microsoft, para fazer com que as credenciais fossem revogadas e impedir que os hackers as explorassem.
Por volta da mesma época, Larsen afirma que a visibilidade do Google no chat interno do TeamPCP também permitiu que a empresa aprendesse que alguém dentro do círculo central do grupo estava, distinto dos ataques à cadeia de suprimentos, usando uma ferramenta de inteligência artificial para desenvolver uma exploração de dia zero em um software de login amplamente utilizado que permitiria aos hackers contornar a autenticação de dois fatores.
A equipe do Google obteve uma cópia do código de exploração, testou e descobriu que, com alguns ajustes, funcionava. A empresa alertou o desenvolvedor do software, que conseguiu corrigir a falha de segurança.
Antes mesmo dos esforços de interrupção do Google, Larsen afirma que o grupo teve dificuldades para lucrar com sua enorme coleção de dados roubados, que incluía mais de quinhentas mil credenciais de usuários. Larsen estima que, apesar desse volume, o grupo estava obtendo apenas dezenas de milhares de dólares em pagamentos de extorsão, não os milhões que grupos semelhantes reuniram.
Então, numa tentativa de monetizar melhor seus ataques, o TeamPCP convidou vários outros grupos de cibercriminosos para fazer parceria, dando-lhes acesso às credenciais roubadas em troca de uma porcentagem de quaisquer pagamentos de extorsão que conseguissem extrair. Um desses parceiros foi o ShinyHunters, um grupo de hackers altamente prolífico que extorquiu milhões de dólares de vítimas por meio de roubo de dados e ransomware.
Por volta de abril, algumas semanas após fazer parceria com o TeamPCP, o ShinyHunters se rebelou, realizando suas próprias extorsões com as credenciais do TeamPCP, mas sem dar aos hackers da cadeia de suprimentos sua parte. O ShinyHunters chegou a compartilhar com Larsen, não solicitado, um registro completo do chat do grupo no servidor do TeamPCP, sem saber que ele já tinha acesso por meio do espião do Google.
Sem essa fonte interna, Larsen afirma que um trabalho de detecção digital mais tradicional permitiu que ele montasse a trilha de migalhas de pão que acabaria levando à identidade de Thomson, um dos dois homens accusados por supostamente desempenhar papéis fundamentais no TeamPCP. Larsen encontrou em um vazamento de dados de usuários do fórum de hackers BreachForums que uma das identificações mais ativas no chat CanisterWorm havia sido registrada com o endereço de Gmail ruben.thomson.13@gmail.com.
Após o TeamPCP mover suas credenciais roubadas para um servidor hospedado por um provedor diferente, Larsen afirma que o Google conseguiu aprender sobre alguns conteúdos do novo servidor e que ele estava sendo backupado para uma conta do Google Drive vinculada a esse mesmo endereço de Gmail ruben.thomson.13@gmail.com.
Quando vimos isso, pensei: Não tem como. Por que ele estaria enviando todo esse material ilícito e roubado para um Google Drive vinculado a ele mesmo? Foi quando passamos a dica ao FBI.
Cerca de um mês após sua dica, Larsen afirma que as autoridades estadounidenses haviam concluído o processo legal de solicitar os dados de Thomson do Google com um mandado. No final do mês passado, Thomson foi preso pela polícia australiana, que liberou um vídeo dele sendo escoltado para fora de uma casa suburbana.
Larsen foi cuidadoso em notar que o analista undercover do Google dentro do TeamPCP nunca se envolveu em qualquer hacking ilegal ou mesmo encorajamento das violações do grupo. Ele era uma mosca na parede, dizendo apenas o suficiente para não parecer suspeito. Há proteções em torno do que fazemos.
Mas Larsen também observa que o trabalho de sua equipe para sabotar ativamente os ataques do TeamPCP faz parte de uma nova mudança dentro do Google. A investigação, afinal, começou por volta da mesma época da recém-lançada Unidade de Interrupção Cibernética do Google, que foi oficialmente incumbida de adotar uma abordagem mais agressiva no combate ao crime cibernético e aos hacks patrocinados por Estados.
O Grupo de Inteligência contra Ameaças do Google enfatizou a interrupção. Essa é uma das nossas missões agora. Escrever relatórios pode ser útil até certo ponto. Tomar medidas para proteger usuários e clientes, esse é o próximo passo.
Fonte: Feed: All Latest
