Google ha revelado que ha tenido un infiltrado en TeamPCP, el grupo de 'hackers' responsable de una de las mayores campañas de ataques a la cadena de suministro registradas hasta ahora, capaz de comprometer proyectos como Mistral AI y LiteLLM, al igual que GitHub, OpenAI y la Comisión Europea, lo que le permitió espiarlo desde dentro, avisar a las víctimas y detener parte de sus extorsiones.
La tecnológica ha revelado la existencia de su infiltrado en la conferencia de investigación de seguridad LABScon, donde ha aprticipado el investigador del Google Threat Intelligence Group, Austin Larsen, y en declaraciones a WIRED. Desde marzo ha tenido infiltrado a un analista que se encargaba de monitorizar la actividad de TeamPCP.
"Una de nuestras personas había estado trabajando durante varios meses para edificar la confianza necesaria con uno de los actores para ser invitado a formar parte de TeamPCP, y ser añadido finalmente al grupo", ha explicado Larsen sobre una monitorización que se inició desde casi el inicio de la campaña.
Entre los proyectos que llegó a comprometer se encuentran Trivy, LiteLLM, Checkmarx, TanStack y Mistral AI, aunque también alcanzó a GitHub, OpenAI y la Comisión Europea, entre las más de mil empresas afectadas. De hecho, utilizó un gusano automatizado, apodado Mini Shai-Hulud (por Dune), que se encargaba de reproducirse a sí mismo para seguir automatizando ataques.
A su vez, el analista infiltrado de Google tenía como tarea avisar ante posibles ataques. Así, alertó del almacén de credenciales robadas que el grupo acumulaba, lo que permitió a la tecnológica avisar a tiempo a AWS y Microsoft para que las revocaran antes de que los 'hackers' llegaran a explotarlas. También avisó sobre un miembro del chat del grupo que había usado Inteligencia Artificial (IA) para crear un 'exploit' de día cero contra un 'software' de inicio de sesión muy usado, con el que podían saltarse su doble factor de autenticación, y que finalmente el desarrollador pudo parchear.
Entre los datos que aportaba el infiltrado y los que llegó a filtrar ShinyHunters, el grupo de 'hackers' al que TeamPCP se asoció para rentabilizar sus ataques y que se rebeló contra ellos al pasar a Larsen el registro completo de los chats, Google tenía una visión casi total de la operación. La reacción de TeamPCP a la filtración de ShinyHunters fue estrechar su círculo, mover los datos a otro servidor y expulsar tanto al grupo de 'hackers' como al analista de Google, sin saber que este era el infiltrado.
Uno de los presuntos líderes de TeamPCP, a quien la cadena pública australiana ABC identificó como Ruben Ian Thomson, australiano de poco más de 20 años, cayó por un error de principiante. Google, según Larsen, fue capaz de reconstruir su identidad a partir de un alias muy activo en el chat del grupo, que aparecía en filtraciones de foros de 'hackers' vinculado a una cuenta de correo personal; y, sobre todo, porque al hacer una copia de todo el material robado en un Google Drive de su propia cuenta, dejó el acceso servido. Google avisó al FBI y acabaron detenidos tanto él como Louis Michael Gaebler.
Los arrestos se produjeron a finales del mes pasado en Perth (Australia) y, según la Policía Federal Australiana (AFP), Thomson y Gaebler afrontan 14 cargos en total (ocho y seis, respectivamente) por delitos de intrusión de datos, suplantación de identidad y blanqueo mediante criptomonedas. La investigación se inició en abril junto al FBI y la AFP cifra en mas de mil organizaciones comprometidas, en más de 500.000 las credenciales expuestas y en al menos 300 GB de datos robados.
La Cyber Disruption Unit, la nueva unidad recientemente creada por Google, es la prueba del giro que está dando la tecnológica hacia un combate más agresivo contra el cibercrimen y el hackeo patrocinado por Estados. Sobre ello, Larsen apunta que "escribir informes solo sirve hasta cierto punto. Pasar a la acción para proteger a usuarios y clientes es el siguiente paso".