Un analista encubierto de Google estuvo infiltrado en la banda TeamPCP
Mandiant tuvo a una persona dentro del chat interno del grupo desde marzo, avisó a proveedores cloud para revocar credenciales robadas y pasó datos a la policía australiana.
Google ha desvelado que un analista encubierto de su filial de seguridad Mandiant estuvo infiltrado en TeamPCP desde casi los primeros días de actividad pública de la banda, la misma que encadenó ataques a la cadena de suministro de software y acabó comprometiendo más de mil empresas. La información obtenida desde dentro sirvió para avisar a las víctimas, ordenar la revocación de credenciales robadas y entregar a la policía australiana detalles que derivaron en dos detenciones. Austin Larsen, investigador de Google Threat Intelligence Group, presenta hoy el caso en la conferencia LABScon.
Así operaba TeamPCP
El grupo apareció en línea a finales de 2025 y se hizo conocido por una cadena de ataques que se retroalimentaba: comprometía un proyecto open source para esconder su malware, con él robaba credenciales de desarrolladores y plantaba código malicioso en otra herramienta muy usada, y vuelta a empezar. En esa rueda cayeron el escáner de seguridad Trivy, la herramienta de API para IA LiteLLM, infraestructura de la firma de seguridad de aplicaciones web Checkmarx, la librería TanStack y la plataforma de IA empresarial Mistral AI. De ahí salieron brechas en la contratista de datos de GitHub Mercor, en dispositivos de empleados de OpenAI, en la Comisión Europea y en otras organizaciones que no se han identificado en público. Para escalar, el grupo desplegó un gusano autorreplicante llamado Mini Shai-Hulud, por los gusanos de arena de Dune.
El topo y la respuesta
En marzo, una de las aproximadamente doce personas con acceso al chat interno del grupo, bautizado CanisterWorm, era un analista de Mandiant. «Casi desde el primer día, Mandiant estaba viendo todo entre bastidores», ha dicho Larsen, que no ha revelado la identidad. Desde ahí, el equipo llegó a un servidor donde la banda acumulaba credenciales robadas —usuarios, contraseñas y tokens de acceso— que pensaba usar para extorsionar a las empresas afectadas. En lugar de avisar una por una a las víctimas, lo que habría tardado demasiado, Google contactó primero con proveedores como AWS y Microsoft para que revocaran esas credenciales; se enviaron cientos de correos. «Mi idea era cómo interrumpir la campaña lo antes posible antes de que se produjeran más compromisos», explica el investigador. Su equipo también recibió información de ShinyHunters, otro grupo criminal que colaboró con TeamPCP y después le dio la espalda, y siguió los errores de seguridad operativa de uno de los dos australianos acusados de dirigir la banda, Ruben Ian Thomson y Louis Michael Gaebler, de veintipocos años, detenidos en agosto en una investigación conjunta con el FBI.
El material que se presenta en LABScon describe la investigación desde el punto de vista de Google, no la de la fiscalía australiana: los dos detenidos están acusados de delitos informáticos y el proceso aún no ha expuesto pruebas. Falta por saber el alcance real de las brechas en las organizaciones que nunca se han identificado.
