Google'ın gizli analisti TeamPCP çetesinin iç halkasına sızdı

Google Tehdit İstihbaratı Grubu, TeamPCP adlı hacker grubunun saldırı dalgası sürerken kendi gizli araştırmacısının grubun iç halkasına girdiğini açıkladı. Araştırmacı Austin Larsen, ayrıntıları güvenlik şirketi SentinelOne'ın düzenlediği LABScon konferansında anlatıyor.

Larsen'a göre Google'ın güvenlik iştiraki Mandiant'a ait bir sahte kimlik, aylarca TeamPCP'ye davet edilen bir aktörle güven ilişkisi kurdu ve mart ayında, grubun tedarik zinciri saldırıları yeni başlarken çekirdek kadroya alındı. Bu analist, grubun CanisterWorm adını verdiği ana sohbete erişimi olan yaklaşık 12 kişiden biriydi. Larsen'ın ifadesiyle Mandiant neredeyse ilk günden itibaren perde arkasını izliyordu.

Ne yaptılar

2025'in sonlarında ortaya çıkan grup, yüzlerce açık kaynak programa zararlı yazılım bulaştırdı, geliştirici hesaplarını ele geçirip zinciri büyüttü ve süreci otomatikleştirmek için Dune'daki kum solucanlarından adını alan Mini Shai-Hulud adlı kendi kendine yayılan bir solucan kullandı. Bu baharda hedefleri arasında açık kaynak güvenlik tarayıcısı Trivy, yapay zeka API aracı LiteLLM, Checkmarx altyapısı, TanStack kütüphanesi ve Mistral AI vardı. Zincirleme saldırılar sonunda GitHub, veri şirketi Mercor ile OpenAI ve Avrupa Komisyonu çalışanlarının cihazlarına kadar uzandı; toplamda binden fazla şirket etkilendi.

Müdahale ve tutuklamalar

Gizli analist, grubun kurbanlardan çaldığı kullanıcı adı, parola ve erişim anahtarlarını sakladığı sunucuya da erişti. Google, kurban şirketleri tek tek uyarmanın çok uzun süreceğini düşünerek önce Amazon Web Services ve Microsoft gibi sağlayıcılara başvurup kimlik bilgilerinin iptalini istedi; ekip yüzlerce bildirim e-postası gönderdi. Şirket ayrıca TeamPCP'yle bir dönem birlikte çalışan, sonra ters düşen ShinyHunters'tan da istihbarat aldı.

Geçen ay Avustralya polisi, FBI desteğiyle yürütülen ortak soruşturmada 20'li yaşlarının başındaki Ruben Ian Thomson ve Louis Michael Gaebler'i tutukladı. Ayrıntılar Ars Technica'da.