Antes de que dos de sus presuntos miembros fueran arrestados y acusados en Australia el mes pasado, el grupo de hackers conocido como TeamPCP llevó a cabo una campaña de hackeo sin precedentes en la historia.

Contaminó cientos de programas de código abierto con su malware, robó cuentas de desarrolladores para perpetuar dicho hackeo y lanzó un gusano autorreplicante inspirado en Dune para automatizar el proceso, vulnerando a más de mil empresas.

Ahora, el grupo de inteligencia de amenazas de Google ha revelado que, durante un momento clave del ataque de TeamPCP, un investigador encubierto de la propia empresa se había infiltrado en el grupo.

Esto permitió a Google monitorear el ataque desde adentro, advertir a los objetivos y ayudar a interrumpir los intentos del grupo por explotar a las víctimas.

En una conferencia de la firma de seguridad SentinelOne, el investigador de Google Threat Intelligence Group, Austin Larsen, presentará los detalles de la investigación y la infiltración de TeamPCP.

Según Larsen, Google eventualmente siguió un rastro de errores de seguridad operativa cometidos por uno de los dos australianos acusados y pasó detalles clave a las fuerzas del orden.

La compañía también recibió inteligencia de ShinyHunters, otro grupo ciberdelictivo con el que TeamPCP se asoció, pero que luego traicionó a los hackers.

Quizás lo más sorprendente es que Larsen afirma que la filial de seguridad de Google, Mandiant, tenía un analista encubierto dentro del círculo íntimo del grupo casi desde el principio.

«Uno de nuestros perfiles había estado trabajando durante muchos meses para generar confianza con uno de los actores invitados a unirse a TeamPCP, por lo que fue añadido al grupo», declaró Larsen.

A finales del mes pasado, Ruben Ian Thomson y Louis Michael Gaebler, ambos australianos de unos veinte años, fueron arrestados por la policía australiana en una investigación conjunta con el FBI.

Fueron acusados de delitos informáticos y descritos por la Policía Federal Australiana como participantes principales en TeamPCP.

El grupo de hackers, que pareció aparecer en línea a finales de 2025, acaparó titulares con una audaz cadena de ataques a la cadena de suministro.

Comprometió repetidamente software de código abierto para ocultar su malware, lo que le permitió secuestrar las credenciales de desarrolladores de software.

A partir de esta primavera, TeamPCP comprometió el escáner de seguridad Trivy, la herramienta de API de IA LiteLLM, la infraestructura de Checkmarx, la biblioteca TanStack y la plataforma Mistral AI.

Estos ataques permitieron a los hackers vulnerar el repositorio GitHub, la firma de datos Mercor, y dispositivos de empleados de OpenAI y la Comisión Europea.

A veces, el grupo desplegó un gusano llamado Mini Shai-Hulud para automatizar sus ataques y escalar hacia un mayor número de víctimas.

Larsen señala que en marzo, justo cuando TeamPCP comenzaba sus ataques, el analista encubierto de Google fue invitado a unirse al círculo íntimo de los hackers.

Esa fuente interna, cuyo nombre no fue revelado, era uno de los doce miembros con acceso a un chat central llamado CanisterWorm.

Uno de los miembros escribió en los chats filtrados: «Deben entender que logramos la mayor cadena de suministro quizás jamás registrada en la historia moderna».

Michael Fletcher, un exanalista de la AFP, indicó que se acercó a Larsen en ese momento para monitorear las actividades del grupo y Larsen le advirtió que procediera con cautela porque uno de ellos era un «amigo».

El analista de Google obtuvo acceso a un servidor donde TeamPCP almacenaba sus credenciales robadas a las víctimas.

El equipo de Google decidió actuar rápidamente para advertir a las víctimas y evitar el plan de extorsión de TeamPCP.

Larsen explica: «Mi pensamiento fue: ¿Cómo podemos interrumpir su campaña lo más rápido posible antes de que ocurran más compromisos?»

En lugar de alertar directamente a los propietarios de las credenciales, Google contactó primero a proveedores como Amazon Web Services y Microsoft para revocar las credenciales.

Larsen y su equipo enviaron cientos de correos de notificación a dichos proveedores y luego a las víctimas, obteniendo respuestas inmediatas.

La visibilidad en el chat interno también permitió a Google descubrir que alguien estaba usando una herramienta de IA para desarrollar un exploit de día cero para vulnerar la autenticación de dos factores.

El equipo de Google obtuvo una copia del exploit, lo probó y descubrió que funcionaba, advirtiendo al desarrollador del software para que pudiera aplicar un parche.

Incluso antes de los esfuerzos de interrupción, el grupo tuvo dificultades para monetizar su enorme colección de datos robados, que incluía más de medio millón de credenciales.

Larsen estima que solo obtuvieron decenas de miles de dólares en pagos de extorsión, muy lejos de los millones acumulados por grupos similares.

Para monetizar mejor sus hackeos, TeamPCP invitó a otros grupos ciberdelictivos a asociarse, dándoles acceso a las credenciales robadas a cambio de un porcentaje.

Uno de esos socios fue ShinyHunters, un grupo prolífico que ha extorsionado millones de dólares a sus víctimas.

En abril, ShinyHunters se independizó, realizando sus propias extorsiones con las credenciales de TeamPCP sin darles su parte.

ShinyHunters compartió con Larsen un registro completo del chat del servidor de TeamPCP sin saber que ya tenía acceso a través del topo de Google.

TeamPCP respondió reduciendo su círculo íntimo, trasladando sus datos a un nuevo servidor y expulsando a ShinyHunters y al analista de Google.

A pesar de perder el acceso interno, el trabajo de detective digital permitió a Larsen unir las piezas del rastro de migas de pan que conducían a la identidad de Thomson.

Larsen descubrió en una filtración de BreachForums que uno de los alias más activos en el chat se había registrado con el correo [email protected].

Al revisar otros archivos de foros, encontró una disputa de 2019 entre ese alias y un vendedor de claves de Microsoft Office, donde exigía un reembolso a una cuenta de PayPal vinculada a [email protected].

Después de que TeamPCP cambió sus credenciales a un nuevo servidor, Google pudo conocer su contenido a través de un socio de confianza y descubrió que se respaldaba en un Google Drive vinculado a la misma cuenta.

Larsen indica que fue entonces cuando dieron la pista al FBI, y un mes después las fuerzas del orden de EE. UU. completaron el proceso para solicitar los datos de Thomson.

Larsen enfatizó que el analista encubierto de Google nunca participó en ningún hackeo ilegal ni alentó las infracciones del grupo.

El trabajo de su equipo para frustrar activamente el hackeo forma parte de un nuevo cambio en Google, impulsado por la recién lanzada Unidad de Disrupción Cibernética.