Червь Shai-Hulud и выдумки ИИ: как Google разоблачила хакеров TeamPCP
Google нейтрализовала TeamPCP (фото: Getty Images)
Google отправила своего аналитика под прикрытием прямо к хакерам - он годами оставался внутри группировки TeamPCP и следил за подготовкой атак.
Это позволило компании заблаговременно предупреждать жертв, собирать доказательства преступлений и помочь стражам порядка арестовать лидеров группировки, информирует РБК-Украина со ссылкой на WIRED.
Масштаб массовой атаки
Хакерская группировка TeamPCP, впервые заявившая о себе в конце 2025 года, провела серию атак на открытое ПО.
Преступники заражали популярные инструменты разработчиков вредоносным кодом, похищали учетные данные, а затем использовали их для взлома последующих жертв.
Среди компрометированных сервисов оказались сканер безопасности Trivy, ИИ-инструмент LiteLLM, инфраструктура Checkmarx, библиотека TanStack и платформа Mistral AI.
Это позволило киберпреступникам проникнуть в репозитории GitHub, сервис Mercor, а также получить доступ к устройствам сотрудников OpenAI и Европейской комиссии. В общей сложности пострадало более тысячи компаний.
Для ускорения и автоматизации взломов хакеры выпустили самораспространяющийся сетевой червь Mini Shai-Hulud, названный в честь песчаных червей из вселенной "Дюны" Фрэнка Геберта.
"Крит" от Google
В марте 2026 года, когда масштаб атак достиг пика, секретный аналитик Mandiant вошел в доверие к одному из хакеров и получил приглашение в закрытый чат под названием CanisterWorm. На этом канале находилось около 12 ключевых членов группировки.
Благодаря секретному агенту Google получила доступ к серверу, где хакеры хранили угнанные базы данных и ключи доступа более 500 тысяч пользователей.
Так как напрямую связываться с каждой пострадавшей компанией было слишком долго, специалисты Google направили сотни уведомлений непосредственно провайдерам облачных сервисов, включая Amazon Web Services и Microsoft.
Это позволило аннулировать украденные токены до того, как злоумышленники использовали их для вымогания денег.
Кроме этого Google перехватила уникальный эксплойт нулевого дня для обхода двухфакторной аутентификации, который один из хакеров создал с помощью ИИ.
Специалисты испытали код, подтвердили его дееспособность и передали разработчикам ПО для срочной исправления уязвимости.
Предательство партнеров и нелепые ошибки операционной безопасности
TeamPCP привлекла ShinyHunters для монетизации украденных данных, но в апреле 2026 года те забрали базы себе и начали самостоятельно требовать выкуп. Более того, ShinyHunters передали Google полные логи внутренних чатов TeamPCP, не подозревая, что у компании уже был свой агент внутри группировки.
После утечки TeamPCP сменила сервер и исключила посторонних участников из нового чата. Однако Google продолжила расследование и выяснила, что хакеры автоматически создавали резервные копии украденных данных на Google Drive, привязанном к личной почте одного из участников.
Аресты лидеров группировки
Получив неопровержимые доказательства связи между аккаунтом и украденными материалами, Google передала информацию Федеральному бюро расследований США (ФБР). После официального запроса правоохранители подтвердили личность подозреваемого.
В конце августа 2026 года Федеральная полиция Австралии задержала двух жителей страны - Рубена Иана Томсона и Луи Майкла Геблера. Им предъявлены официальные обвинения в организации киберпреступлений и руководстве группировок TeamPCP.
Представители Google подчеркнули, что их сотрудник под прикрытием не участвовал в хакерских атаках и выступал исключительно наблюдателем.
Переход от написания аналитических отчетов к активному блокированию хакерских операций стал частью новой стратегии специализированного подразделения техногиганта - Cyber Disruption Unit.
