Google 臥底潛伏 TeamPCP 黑客把備份存進 Google Drive

Google 臥底由 3 月起潛伏 TeamPCP 群組

據《Wired》報道，Google 威脅情報小組研究員 Austin Larsen 在 9 月 17 日（美國時間）的保安研討會 LABScon 上披露，Google 旗下 Mandiant 一名分析員約由今年 3 月起，以化名進入黑客組織 TeamPCP 的私人策劃頻道。該頻道名為 CanisterWorm，只有約十多個帳號可以進入。這個化名原本不是為 TeamPCP 而設，而是花了數月與圈內一名黑客建立關係；該名黑客其後獲邀加入核心圈子，分析員亦以可信夥伴的身份被一併帶入。

TeamPCP 在開源套件植入惡意程式

TeamPCP 的手法是先偷取開源項目的發布權限，再經項目自己的發布渠道推出被改動的版本。今年 3 月，保安掃描工具 Trivy、Checkmarx KICS 及 AI 閘道 LiteLLM 相繼中招；從一個項目偷來的憑證，又被用來攻入下一個項目，範圍橫跨 GitHub Actions、Docker Hub、npm、PyPI 及 OpenVSX。組織又放出一款會自行擴散的蠕蟲 Mini Shai-Hulud。據澳洲聯邦警察公布，事件波及全球逾 1,000 個機構，被盜憑證逾 50 萬組。

Google 先找 AWS 及 Microsoft 作廢被盜憑證

分析員其後取得 TeamPCP 存放贓物的伺服器存取權，內有從受害者偷來、準備用作勒索的用戶名稱、密碼及存取權杖（access token）。Larsen 表示，Google 沒有按慣例逐一通知受害公司，而是先找 Amazon Web Services 及 Microsoft 等平台，要求整批作廢這些憑證，趕在黑客套現之前出手；Google 前後發出數以百計的通知電郵，先發平台，再發受影響公司。Larsen 又指，TeamPCP 靠勒索只賺到數萬美元，遠低於同類組織動輒數百萬美元的收入。

黑客自己把備份存進 Google Drive

身份線索來自一個 Gmail 地址。Larsen 在黑客論壇 BreachForums 一次外洩的用戶資料中，發現 CanisterWorm 頻道內一個帳號連結電郵 sheepstealing@gmail.com。他翻查論壇存檔，找到 2019 年一宗糾紛：化名 sheepstealing 的用戶向一名售賣盜版 Microsoft Office 序號的賣家追討退款，要求把錢退到一個 PayPal 帳戶，帳戶電郵用的是 Thomson 家族的網域。資安記者 Brian Krebs 另外獨立追查到同一條線索。

其後 TeamPCP 遭另一黑客組織 ShinyHunters 公開嘲諷，收窄核心圈子，把資料搬到另一個伺服器，同時把 Google 的分析員踢走。惟據 Larsen 所指，新伺服器的內容正備份到同一個 sheepstealing@gmail.com 帳戶的 Google Drive。他把消息轉交美國聯邦調查局（FBI），對方「幾分鐘內」便有回覆。

兩名西澳男子 8 月被捕

澳洲聯邦警察聯同西澳警方及 FBI，8 月 26 日在珀斯一帶搜查多個物業，起訴兩名西澳男子合共 14 項罪名。澳洲傳媒報道兩人為 21 歲的 Ruben Ian Thomson 及 23 歲的 Louis Michael Gaebler，兩人翌日在珀斯裁判法院提堂。案件仍未審結，兩人未被定罪。

Larsen 建議開發者收緊發布權限

Larsen 在演講中列出防範建議，包括以短期、經 OIDC 簽發的發布權杖取代長期個人存取權杖，按雜湊值（hash）而非版本範圍鎖定依賴套件，在持續整合流程停用安裝腳本，以及把特權帳戶轉用硬件安全金鑰（FIDO2）。他又透露，TeamPCP 一名核心成員曾用 AI 工具寫出一個繞過雙重認證的攻擊程式，Google 取得程式碼後確認可行，已私下通知相關廠商修補。

來源

• An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Hacking Gang（Wired）
• Two WA men charged following AFP-FBI-WAPF disruption of alleged global cybercrime syndicate（澳洲聯邦警察，原始文件）
• Australia charges two men for TeamPCP supply-chain hacking spree（The Record）