Google викрив хакерську мережу TeamPCP: агент під прикриттям і затримання в Австралії

Угруповання TeamPCP з'явилося наприкінці 2025 року й швидко стало відомим завдяки атакам на ланцюжки постачання програмного забезпечення. Зловмисники інфікували відкритий код, викрадали облікові дані розробників і поширювали шкідливе програмне забезпечення, а для автоматизації процесів створили хробака Mini Shai-Hulud. Серед постраждалих опинилися репозиторій GitHub, платформа OpenAI, аналітичний сервіс Mercor і Європейська комісія.

За словами дослідника з групи аналізу загроз Google Threat Intelligence Group Остіна Ларсена, компанія вела спостереження від самого початку: «Одна з наших віртуальних особистостей протягом багатьох місяців працювала над розбудовою довіри з одним із хакерів, якого запросили приєднатися до TeamPCP, тому нас додали до групи». Аналітик підрозділу Mandiant отримав доступ до закритого чату CanisterWorm, де перебували близько 12 ключових учасників. Там він виявив сервер із великим масивом викрадених логінів, паролів і ключів доступу.

Щоб запобігти здирництву, команда Google надіслала сотні попереджень хмарним провайдерам, зокрема Amazon Web Services і Microsoft, аби ті якнайшвидше анулювали скомпрометовані дані. Окремо фахівці зафіксували спробу хакерів створити за допомогою штучного інтелекту шкідливий код для обходу двофакторної автентифікації. Google перевірив уразливість і завчасно попередив розробників цифрового продукту, які випустили захисне оновлення.

Ситуація загострилася у квітні, коли угруповання ShinyHunters посварилося з TeamPCP через гроші та передало правоохоронцям повні логи листування. Після цього лідери TeamPCP звузили коло довірених осіб і заблокували агента Google, утім зібраних ним даних виявилося достатньо.

У межах цифрового розслідування Остін Ларсен знайшов електронну пошту одного з головних хакерів у витіку даних із форуму, а згодом — його профіль у платіжній системі PayPal. Зібрані докази передали правоохоронцям США та Австралії. У результаті спільної операції австралійська поліція та ФБР затримали двох ключових учасників угруповання — жителів Австралії віком близько 20 років Рубена Іана Томсона та Луї Майкла Геблера.

Операція демонструє зміну підходу Google до протидії кіберзлочинності: компанія створила підрозділ Cyber Disruption Unit, який має не лише готувати аналітичні звіти, а й активно знешкоджувати хакерські мережі та захищати користувачів. Для ринку це означає, що великі технологічні гравці дедалі частіше беруть на себе роль, яку традиційно залишали правоохоронцям, — від розвідки до передачі доказів і блокування вкрадених даних у хмарних сервісах.