Специалист подразделения Mandiant (дочерняя компания Google) несколько месяцев действовал под прикрытием внутри хакерской группировки TeamPCP. Благодаря этому он наблюдал за атаками изнутри, предупреждал потенциальных жертв и блокировал использование украденных учётных данных.
TeamPCP активизировалась в конце 2025 года, но получила широкую известность весной 2026 года после серии атак на открытые проекты. Группировка компрометировала разработчицкие инструменты и инфраструктуру, похищала логины и пароли, затем использовала их для новых взломов. Среди целей оказались Trivy, LiteLLM, Checkmarx, TanStack и Mistral AI. Хакеры получили доступ к GitHub, Mercor и устройствам сотрудников OpenAI, Еврокомиссии и других организаций.
Для автоматизации атак TeamPCP использовала самораспространяющегося червя Shai-Hulud (названного в честь песчаных червей из «Дюны»). Кампания затронула более тысячи организаций.
Остин Ларсен из Google Threat Intelligence Group рассказал, что аналитик Mandiant сначала установил контакт с одним из будущих участников TeamPCP ещё до того, как группа стала известна. Когда того приняли в группировку, аналитик тоже получил доступ. В марте 2026 года его добавили в закрытый чат CanisterWorm, где обсуждали операции примерно 12 ключевых участников.
Mandiant наблюдала за TeamPCP с первого дня её активности. Аналитик даже получил доступ к серверу группы, где хранились украденные логины, пароли и токены более чем от 500 тысяч пользователей.
Вместо того чтобы просто следить, Google начал активно мешать операциям. Специалисты напрямую уведомляли AWS, Microsoft и других вендоров для быстрого отзыва скомпрометированных учётных данных, и только потом информировали самих потерпевших.
Из внутренних чатов TeamPCP исследователи выявили, что один из участников использовал ИИ для создания 0-day-эксплоита в аутентификационном ПО. Уязвимость позволяла обойти двухфакторную защиту. Google проверил код, подтвердил работоспособность и предупредил разработчиков. Уязвимость затем исправили.
Позже в TeamPCP начались внутренние конфликты. Группа ShinyHunters, привлечённая для монетизации краденых данных, начала самостоятельно вымогать деньги у жертв и не делилась доходом. ShinyHunters даже передали Ларсену полный лог внутреннего чата TeamPCP, не зная, что у Google уже есть свой источник. После этого TeamPCP исключила из круга нескольких участников, включая аналитика Mandiant.
Ларсен продолжил работу самостоятельно. Через утечку BreachForums и старые архивы он связал активный аккаунт TeamPCP с адресом sheepstealing@gmail.com, затем с PayPal-счётом на имя 21-летнего Рубена Иэна Томсона.
После чистки круга TeamPCP перенесла базу украденных учётных данных на другой хостинг. Но её резервная копия осталась в Google Drive, привязанном к тому же Gmail-аккаунту.
Всю информацию передали в ФБР. В конце августа австралийская полиция арестовала Рубена Иэна Томсона и Луиса Майкла Геблера как ключевых участников TeamPCP.
Ларсен подчеркнул, что внедрённый аналитик не участвовал во взломах и не подстрекал к атакам — только наблюдал. Google заявил, что это расследование отражает новый курс компании на активное противодействие киберпреступлениям и вмешательство в их операции.
