Аналитик Google под прикрытием проник в TeamPCP и попытался сорвать вымогательскую схему
Получив доступ к инфраструктуре группы, команда Google обратилась к провайдерам, включая AWS и Microsoft, с просьбой отозвать похищенные учётные данные. Одновременно она обнаружила эксплойт для обхода двухфакторной аутентификации, созданный с помощью ИИ.
Аналитик Google, работавший под прикрытием, получил доступ к серверу группы TeamPCP, где хранились украденные у жертв логины, пароли и токены доступа. Об этом Ars Technica рассказал Ларсен, сотрудник Google, участвовавший в расследовании деятельности группы.
По его словам, TeamPCP, вероятно, собиралась использовать эти данные для вымогательства у пострадавших компаний. Google решила сначала обратиться не к каждой жертве по отдельности, а к поставщикам сервисов, где могли использоваться скомпрометированные учётные данные, включая Amazon Web Services и Microsoft. Компания направила этим организациям сотни уведомлений с просьбой отозвать данные и тем самым не дать злоумышленникам ими воспользоваться; затем уведомления получили и сами жертвы.
Доступ к внутреннему чату TeamPCP также позволил команде узнать, что один из участников основного круга группы разрабатывал с помощью ИИ эксплойт для ранее неизвестной уязвимости в широко используемом ПО для входа в системы. Эксплойт позволял обходить двухфакторную аутентификацию.
Google получила копию кода, проверила его и установила, что после нескольких изменений он работает. Компания предупредила разработчика уязвимого ПО, после чего тот выпустил исправление. В мае Google уже описывала этот эпизод в отдельном исследовании, не называя TeamPCP и не раскрывая, каким образом ей стало известно об эксплойте.