TeamPCP contaminó cientos de programas de código abierto con malware, secuestró credenciales de desarrolladores para implantar su código en aún más herramientas de uso extendido y automatizó el ciclo con un gusano autorreplicante inspirado en Dune, comprometiendo objetivos que van desde el escáner de seguridad Trivy y las herramientas de IA de LiteLLM y Mistral AI hasta GitHub, Mercor, dispositivos de empleados de OpenAI y la Comisión Europea. Google reveló en septiembre de 2026 que su unidad Mandiant tenía un analista encubierto dentro del círculo íntimo del grupo desde casi el principio.
La identidad ficticia había pasado meses construyendo confianza con un actor que fue invitado a TeamPCP, y fue añadida al chat central de CanisterWorm —uno de aproximadamente una docena de miembros— y llegó al servidor donde se almacenaban las credenciales robadas para la extorsión. «Esencialmente, casi desde el primer día, Mandiant estaba observando todo entre bastidores», declaró Austin Larsen, de Google Threat Intelligence Group, a WIRED.
En lugar de alertar directamente a los propietarios de miles de credenciales robadas, lo que habría llevado demasiado tiempo, Google acudió primero a los proveedores de servicios para cortar el acceso de los delincuentes a gran escala, y siguió los errores de seguridad operativa de los presuntos líderes para entregar a las fuerzas del orden detalles identificativos. También llegó inteligencia de ShinyHunters, un grupo criminal rival que se volvió contra su socio.
Mandiant pasó meses cultivando una identidad en línea hasta que TeamPCP la invitó al círculo íntimo; luego advirtió a las víctimas acudiendo a los proveedores, no a las empresas.
Una identidad de confianza dentro del grupo convierte la inteligencia de amenazas de un análisis forense a posteriori en visibilidad en tiempo real de objetivos y planes.
El restablecimiento de credenciales a nivel de proveedor resuelve miles de víctimas con un puñado de acciones, adelantándose al reloj de la extorsión.
Rastrear los errores de seguridad operativa hasta sospechosos identificados convirtió la vigilancia en procesamiento judicial.
Los grupos rivales convertidos en informantes aportaron una cobertura que el topo por sí solo no podía proporcionar.
La infiltración combinada con la remediación del lado del proveedor supera al triaje víctima por víctima: cuando los compromisos superan tu capacidad de advertir, corrígelo en origen, donde una sola acción cubre a miles.
En agosto de 2026, la policía australiana, en colaboración con el FBI, detuvo y acusó a dos presuntos participantes principales de TeamPCP, Ruben Ian Thomson y Louis Michael Gaebler. Larsen presentó la infiltración en la conferencia LABScon de SentinelOne el 18 de septiembre de 2026.
CONSULTA LAS PRUEBAS
Las fuentes
- An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Hacking Gang WIRED · wired.com ·