Google安全研究员潜入黑客团队TeamPCP 从内部收集信息并实施破坏

Google威胁情报团队近日在一场安全会议上披露，旗下Mandiant的安全研究人员曾秘密潜入黑客组织TeamPCP的核心聊天群，对该组织针对开源软件生态发动的大规模供应链攻击进行长期监控。由于卧底身份的特殊性，Google在黑客动手之前就已协助受影响的企业及云服务商处置了被盗凭证。

建立虚拟角色获得黑客信任：

这名安全研究员受Google指派执行潜伏任务，团队为此花时间打造了一个虚拟身份，并通过与某位黑客互动逐步建立信任关系。该黑客是受邀加入TeamPCP的，借助这层信任，Google团队的卧底分析师也顺利被接纳，进入了核心聊天群。

这个核心聊天群共有12人，讨论内容主要涉及攻击进展、已窃取的数据以及后续勒索计划的制定等。TeamPCP开发的蠕虫病毒能在短时间内感染大量应用并窃取企业敏感数据，随后利用这些数据向企业施压勒索，若企业拒绝支付赎金，敏感数据就可能被公开。

成为内鬼后窃取黑客数据并通知 AWS 吊销泄露的凭证：

在这场攻防较量中，Google安全团队的分析师扮演的是内鬼角色。这名分析师发现黑客将大量用户名、密码和访问凭证集中存放在服务器上。相关线索被上报至Google安全团队后，团队并未逐一通知受影响企业（因为效率太低），而是直接联系亚马逊AWS批量吊销所有已泄露的凭证。

凭证吊销完成后，Google随即向受害企业发送邮件，协助其快速完成凭证轮换并收紧访问权限，使黑客无法再利用泄露的凭证进入受害企业内部系统窃取数据。卧底分析师自始至终没有参与过攻击行动，而这次卧底行动帮助Google收集到了更多TeamPCP的内部信息。

两名核心成员被捕也与卧底有关：

值得关注的是，Google透露卧底分析师依据黑客在内部聊天群中的操作失误，向执法机构提供了与涉嫌成员相关的线索。需要说明的是，TeamPCP成员均通过互联网沟通，分散在各国，成员之间并不知晓彼此的真实身份。

此前美国联邦调查局与澳大利亚警方合作，在澳大利亚逮捕了两名TeamPCP核心成员。虽然Google未详细说明，但大概率这两名核心成员落网与卧底分析师有关。