Austin Larsen, analista de Google, se infiltró en el grupo TeamPCP, logrando neutralizar un ciberataque masivo y colaborando con el FBI para arrestar a sus líderes.

• Austin Larsen, experto de Google, logró infiltrarse en el peligroado grupo de hackers TeamPCP. Gracias a esta operación, Google pudo neutralizar un ciberataque masivo dirigido a la cadena de suministro y colaborar estrechamente con el FBI para conseguir la detención de sus líderes.

Una de las mayores campañas de ataques a la cadena de suministro de software vuelve a chocar con las grandes compañías. Se trata de un caso del famoso grupo llamado TeamPCP e involucra al gigante tecnológico de Silicon Valley.

Google asegura que observaba parte de la operación desde dentro gracias a Austin Larsen, analista de la empresa, y parece que se trata de una de las amenazas más fuertes registradas hasta la fecha.

El monitoreo se llevó a cabo mediante las ejecuciones de las acciones maliciosas tras afectar a más de un millar de organizaciones. A continuación, han compartido la información sobre cómo se han dado las cosas.

El infiltrado de Google que observó a TeamPCP desde el inicio

Desde las puertas traseras para acceder a todo tu ordenador con las bibliotecas de Python hasta una afectación de más de 70 repositorios de GitHub, puedes hacerte una idea de lo peligroso que pueden llegar a ser los de TeamPCP.

Con el tiempo se ha convertido en uno de los grupos de ciberdelincuentes más populares dentro de la industria tecnológica. De hecho, ha pasado por varios nombres, como PCPcat, ShellForce o DeadCatx3.

De acuerdo con los detalles revelados por Austin Larsen, investigador de Google Threat Intelligence Group, la organización llevó a cabo una campaña masiva de ataques contra proyectos de código abierto.

Lo descubierto indica que se estaba utilizando malware para comprometer herramientas ampliamente utilizadas y expandir su alcance a nuevas víctimas.

Por supuesto, en este tipo de equipos es difícil adentrarse o tener datos relacionados con los integrantes. Esto es justo lo que hace particular este caso porque Google ha logrado infiltrarse para tener una fuente dentro del círculo cercano de los atacantes.

Según explicó Larsen durante la conferencia LABScon y en declaraciones a WIRED, un analista encubierto de Mandiant, empresa de seguridad propiedad de Google, llevaba meses generando confianza con una persona que posteriormente fue invitada a TeamPCP.

Gracias a ello, el investigador obtuvo acceso al chat interno conocido como CanisterWorm prácticamente desde los primeros momentos de actividad del grupo.

Larsen resumió la situación con una frase reveladora: "Básicamente, casi el primer día, Mandiant estaba observando todo detrás de escena". Esa visibilidad permitió a Google seguir en tiempo real parte de los movimientos de la organización.

El infiltrado llegó a tener acceso a servidores donde se almacenaban credenciales robadas, incluidos nombres de usuario, contraseñas y tokens de acceso obtenidos durante la campaña. Todos los uuariso

En lugar de limitarse a recopilar información, el equipo decidió actuar para reducir el impacto potencial. Larsen explicó que su objetivo era impedir nuevos compromisos antes de que los delincuentes pudieran aprovechar las credenciales o utilizarlas en esquemas de extorsión.

Cómo Google ayudó a frenar los ataques y la caída de los presuntos responsables

La información obtenida por el analista encubierto ayudó a Google a coordinar acciones defensivas a gran escala. En este punto, la compañía optó por avisar primero a proveedores clave como Amazon Web Services y Microsoft para revocar credenciales comprometidas.

Posteriormente, se enviaron cientos de notificaciones tanto a proveedores como a organizaciones afectadas, acelerando la respuesta ante la amenaza.

Según el experto en ciberseguridad, una persona vinculada al entorno de TeamPCP utilizó herramientas de inteligencia artificial para desarrollar un exploit dirigido contra un software de autenticación ampliamente empleado.

La compañía alertó al desarrollador responsable del producto afectado para que corrigiera la vulnerabilidad antes de que pudiera explotarse de forma masiva.

Se ha confirmado que una investigación basada en filtraciones de datos, registros de foros de hackers y cuentas vinculadas permitió seguir un rastro digital que apuntaba hacia Ruben Ian Thomson, uno de los presuntos integrantes clave del grupo.

Como señaló, “escribir informes solo puede ser útil hasta cierto punto. Tomar medidas para proteger a los usuarios y clientes, ese es el siguiente paso”.

Tras estas decisiones y el trabajo de ciberseguridad realizado por parte del gigante tecnológico. Google trasladó esa información al FBI, que posteriormente colaboró con las autoridades australianas.

El mes pasado, Thomson y Louis Michael Gaebler fueron arrestados en Australia y acusados de delitos relacionados con piratería informática. Por el momento, esta es toda la información que se sabe, aunque las investigaciones continúan para seguir obteniendo datos con respecto al popular grupo de hackers.

Una cuenta de Google Drive puso nombre a uno de los delincuentes

Larsen consiguió relacionar uno de los alias más activos de TeamPCP con una dirección de Gmail y, posteriormente, con una cuenta de PayPal vinculada a un nombre real. Más tarde, los investigadores descubrieron que parte del material robado estaba siendo almacenado en un Google Drive asociado a la misma cuenta. Esa pista fue trasladada al FBI y, aproximadamente un mes después, las autoridades estadounidenses obtuvieron mediante una orden judicial los datos necesarios para avanzar en la investigación.

A finales del mes pasado, las autoridades australianas detuvieron a dos jóvenes, Ruben Ian Thomson y Louis Michael Gaebler, a quienes la Policía Federal Australiana describió como participantes principales de TeamPCP. Ambos fueron acusados de delitos relacionados con hacking. Google, por su parte, subraya que su investigador infiltrado no participó en actividades ilegales ni animó a los miembros del grupo a cometer ataques. Su función fue permanecer dentro del grupo, recopilar información y contribuir a impedir que las operaciones pudieran seguir adelante.

El caso refleja además un cambio de estrategia de Google frente a las amenazas digitales. La compañía ha reforzado su apuesta por la llamada disrupción de operaciones de ciberdelincuentes, una filosofía que busca no limitarse a documentar los ataques una vez ocurridos, sino intervenir para reducir su impacto mientras están sucediendo. En un escenario en el que los ataques a la cadena de suministro pueden propagarse rápidamente a través de miles de empresas y proyectos, la capacidad de detectar una operación desde dentro puede convertirse en una herramienta decisiva para contener sus consecuencias.