Google, TeamPCP siber suç şebekesine sızdı

Şirketin güvenlik alt markası Mandiant bünyesindeki bir analist, şebekenin iç çevresine dahil olarak saldırı sürecini yakından izledi. SentinelOne’un LABScon konferansında sunum yapan Google araştırmacısı Austin Larsen, bu operasyonun detaylarını kamuoyuyla paylaştı.

TeamPCP’nin kaos yaratan saldırı dalgası

Hacker grubu, Avustralya’da iki üyesinin tutuklanmasından önce tarihte eşi benzeri görülmemiş bir saldırı kampanyası yürüttü. TeamPCP, yüzlerce açık kaynak kodlu yazılımı zararlı kodlarla bulaştırdı ve geliştirici hesaplarını çalarak bu yazılım tedarik zinciri saldırılarını sürdürdü. Grup, süreci otomatize etmek için Dune temalı, kendini kopyalayan bir solucan yazılımı bile dağıttı. Bu eylemler sonucunda bir binden fazla şirketin sistemleri ihlal edildi.

İstihbarat paylaşımı ve operasyonel hatalar

Larsen, Google’ın şebekenin lideri olduğu sanılan iki Avustralyalı saldırgandan birinin yaptığı operasyonel güvenlik hatalarını takip ederek kritik kimlik bilgilerini yasalara bildirdiğini aktardı. Ayrıca, TeamPCP’nin kısa süreli ortağı olan diğer bir süper suç grubu olan ShinyHunters’tan gelen istihbarat da soruşturmanın seyrini değiştirdi. ShinyHunters, daha sonra tedarik zinciri hackerlarına karşı tavır alarak Google’a bilgi aktardı. Larsen’in açıklamalarına göre, Google’ın gizli analisti, TeamPCP’ye davet edilen bir aktörle aylarca güven inşa ederek grubun içine girdi ve bu sayede saldırıları anlık olarak izleyebildi. Bu içgörü sayesinde Google, ihlal edilen hedeflere erken uyarıda bulunarak şebekenin kurbanlarını istismar etme girişimlerini engellemeye yardımcı oldu.