Черв'як Shai-Hulud та вигадки ШІ: як Google викрила хакерів TeamPCP
Google відправила свого аналітика під прикриттям прямо до хакерів - він роками залишався всередині угруповуванняTeamPCP і стежив за підготовкою атак.
Це дозволило компанії завчасно попереджати жертв, збирати докази злочинів та допомогти правоохоронцям заарештувати лідерів угруповання, інформує РБК-Україна з посиланням на WIRED.
Масштаб масової атаки
Хакерське угруповання TeamPCP, яке вперше заявило про себе наприкінці 2025 року, провело серію атак на відкрите ПЗ.
Злочинці заражали популярні інструменти розробників шкідливим кодом, викрадали облікові дані, а потім використовували їх для злому наступних жертв.
Серед компрометованих сервісів опинилися сканер безпеки Trivy, ШІ-інструмент LiteLLM, інфраструктура Checkmarx, бібліотека TanStack та платформа Mistral AI.
Це дозволило кіберзлочинцям проникнути в репозиторії GitHub, сервіс Mercor, а також отримати доступ до пристроїв співробітників OpenAI та Європейської комісії. Загалом постраждало понад тисячу компаній.
Для прискорення та автоматизації зломів хакери випустили самопоширюваний мережевий черв'як Mini Shai-Hulud, названий на честь піщаних хробаків із всесвіту "Дюни" Френка Геберта.
"Кріт" від Google
У березні 2026 року, коли масштаб атак досяг піку, секретний аналітик Mandiant увійшов у довіру до одного з хакерів і отримав запрошення до закритого чату під назвою CanisterWorm. У цьому каналі перебувало близько 12 ключових членів угруповання.
Завдяки секретному агенту Google отримала доступ до сервера, де хакери зберігали викрадені бази даних та ключі доступу понад 500 тисяч користувачів.
Оскільки прямо зв'язуватися з кожною постраждалою компанією було занадто довго, фахівці Google надіслали сотні сповіщень безпосередньо провайдерам хмарних сервісів, зокрема Amazon Web Services та Microsoft.
Це дозволило анулювати вкрадені токени до того, як зловмисники використали їх для вимагання грошей.
Окрім цього, Google перехопила унікальний експлойт нульового дня для обходу двофакторної автентифікації, який один із хакерів створив за допомогою ШІ.
Фахівці випробували код, підтвердили його дієздатність і передали розробникам ПЗ для термінового виправлення вразливості.
Зрада партнерів та безглузді помилки операційної безпеки
TeamPCP залучила ShinyHunters для монетизації викрадених даних, але у квітні 2026 року ті забрали бази собі та почали вимагати викуп самостійно. Ба більше, ShinyHunters передали Google повні логи внутрішніх чатів TeamPCP, не знаючи, що компанія вже мала свого агента всередині угруповання.
Після витоку TeamPCP змінила сервер і виключила сторонніх учасників із нового чату. Однак Google продовжила розслідування та виявила, що хакери автоматично створювали резервні копії викрадених даних на Google Drive, прив’язаному до персональної пошти одного з учасників.
Арешти лідерів угруповання
Отримавши беззаперечні докази зв'язку між акаунтом і викраденими матеріалами, Google передала інформацію Федеральному бюро розслідувань США (ФБР). Після офіційного запиту правоохоронці підтвердили особу підозрюваного.
Наприкінці серпня 2026 року Федеральна поліція Австралії затримала двох жителів країни - Рубена Іана Томсона та Луї Майкла Геблера. Їм висунуто офіційні звинувачення в організації кіберзлочинів та керівництві угрупованням TeamPCP.
Представники Google наголосили, що їхній співробітник під прикриттям не брав участі в хакерських атаках і виступав виключно спостерігачем.
Перехід від написання аналітичних звітів до активного блокування хакерських операцій став частиною нової стратегії спеціалізованого підрозділу техногіганта - Cyber Disruption Unit.