Google infiltró a un grupo de hackeos en la cadena de suministro y reveló su operación desde dentro
El equipo de inteligencia de amenazas de Google ha revelado que logró infiltrarse en uno de los grupos de ciberataques más peligrosos de la historia, el llamado TeamPCP, permitiéndole monitorear sus actividades desde el interior y prevenir múltiples incidentes de seguridad.
El grupo, conocido por su metodología innovadora y agresiva, llevó a cabo una campaña de hackeo sin precedentes en la cadena de suministro de software. Utilizó técnicas como la contaminación de programas de código abierto con malware, el robo de cuentas de desarrolladores y la creación de gusanos auto-replicantes inspirados en la película Dune para propagar su ataque a miles de empresas.
La infiltración fue posible gracias al trabajo de un investigador bajo cubierta del equipo de Google, quien se ganó la confianza de miembros clave del grupo durante su operación más activa. Esta estrategia permitió a la empresa obtener información crucial sobre las tácticas empleadas por TeamPCP y alertar oportunamente a sus víctimas potenciales.
En una charla presentada en la conferencia LABScon de SentinelOne, Austin Larsen, investigador del Grupo de Inteligencia de Amenazas de Google, explicó cómo la compañía siguió una pista de errores de seguridad operativa cometidos por uno de los dos sospechosos arrestados en Australia. Estos datos fueron compartidos con las autoridades, lo que ayudó a desmantelar parte de la infraestructura del grupo.
Además, Google recibió información valiosa de otro grupo criminal cibernético, ShinyHunters, con quien TeamPCP había colaborado anteriormente. Sin embargo, este último decidió traicionar a los atacantes, proporcionando información clave que ayudó a desenmascarar sus acciones.
Una de las revelaciones más impactantes fue que Mandiant, la subsidiaria especializada en ciberseguridad de Google, tenía un analista bajo cubierta dentro del círculo más íntimo de TeamPCP desde muy temprano. Según Larsen, ese agente había estado trabajando durante meses para ganarse la confianza de uno de los líderes del grupo y así poder observar sus movimientos desde adentro.
El arresto de Ruben Ian Thomson y Louis Michael Gaebler, ambos menores de 30 años y originarios de Australia, marcó un punto de inflexión en la investigación. Los dos fueron acusados por el Departamento de Policía Federal Australiano (AFP) de participar como principales actores en los ataques, aunque sus nombres no fueron revelados debido a las leyes de privacidad locales.
TeamPCP apareció por primera vez en internet a finales de 2025 y rápidamente se hizo famoso por su técnica de comprometer herramientas de código abierto como Trivy, una aplicación de escaneo de seguridad, para esconder su malware y luego acceder a las credenciales de desarrolladores para propagar su ataque a otros proyectos ampliamente utilizados.
La campaña de TeamPCP no solo afectó a empresas grandes, sino también a organizaciones pequeñas y proyectos de código abierto, lo que demostró la vulnerabilidad de la infraestructura tecnológica global. La intervención de Google permitió frenar parte de esa expansión y evitar que más sistemas fueran comprometidos.
Este caso resalta la importancia de la vigilancia activa y la cooperación internacional en el combate al ciberdelito. Las acciones de Google y Mandiant podrían servir como modelo para futuras operaciones contra grupos de atacantes de alta tecnología.
Traducción y adaptación por Tecnología 365.
Fuente original: Ars Technica