Google сорвала планы хакерской группировки TeamPCP, которая собирала учетные данные множества жертв для последующего вымогательства. Команда компании получила доступ к серверу с украденными именами пользователей, паролями и токенами доступа. «Моя мысль была такой: как можно быстрее нарушить их кампанию, пока не произошло еще больше взломов?» — рассказал исследователь Google Майкл Ларсен.
Вместо того чтобы сначала связываться с каждой пострадавшей организацией, специалисты обратились к сервисам, где могли использоваться похищенные данные. Среди них были Amazon Web Services и Microsoft. Google направила этим провайдерам сотни уведомлений с просьбой аннулировать учетные данные, после чего связалась с самими жертвами.
По словам Ларсена, многие компании и поставщики отреагировали сразу. Такой порядок действий позволил быстрее перекрыть злоумышленникам доступ к аккаунтам и помешать реализации схемы с требованием выкупа. Хакеры, судя по переписке, считали свою операцию одной из крупнейших атак на цепочки поставок в современной истории.
Доступ к внутреннему чату TeamPCP также помог Google обнаружить другую угрозу. Один из участников основного круга группировки с помощью инструмента искусственного интеллекта создавал эксплойт (программу для использования уязвимости) нулевого дня в широко распространенном программном обеспечении для входа в систему.
Разработанный код позволял обходить двухфакторную аутентификацию. Google получила его копию, проверила работоспособность и установила, что после нескольких изменений эксплойт действительно срабатывает. Это стало редким примером применения созданного с помощью ИИ метода взлома для эксплуатации ранее неизвестной уязвимости.
Исследователь бывшего аналитика Австралийского федерального полицейского управления Майкл Флетчер рассказал, что в тот же период пытался обсудить с Ларсеном способы отслеживания участников TeamPCP. По словам Флетчера, Ларсен предупредил его действовать осторожно, поскольку один из хакеров был «дружественным» источником. Об инциденте Google сообщила в своем исследовании, опубликованном в мае, не раскрывая название группировки и способ получения данных об эксплойте.