هكذا تمكنت جوجل من اختراق عميل سري لتفكيك عصابة إجرامية إلكترونية

تخيل مجموعة من المخترقين يُعدّون لهجمات جديدة، معتقدين أنهم لا يُمكن كشفهم. يتبادلون بيانات الاعتماد المسروقة، ويناقشون خطواتهم وأهدافهم، بل ويستخدمون الذكاء الاصطناعي لتطوير أدوات جديدة. لكن ما يجهلونه هو أن أحد أعضائهم يعمل في جوجل.

قد تبدو هذه بداية رواية أو فيلم، لكنها بالضبط ما حدث مع فريق PCP، وهي عصابة إجرامية إلكترونية اخترقت برامج يستخدمها آلاف المطورين، مما أثر في نهاية المطاف على أكثر من ألف مؤسسة.

كما أوضحت مجلة Wired، تمكن فريق استخبارات التهديدات في جوجل من جعل أحد محلليه يتسلل إلى العصابة المذكورة باستخدام هوية سرية تديرها شركة Mandiant، وهي شركة الأمن التابعة لشركة جوجل.

بدأت العملية في مارس الماضي، وأوضح الباحث أوستن لارسون في مؤتمر LABScon الأمني ​​أن المتسلل أمضى شهورًا في كسب ثقة أحد أعضاء المجموعة. لم يكن الهدف المشاركة في الهجمات، بل مراقبة ما يجري داخل المجموعة ومعرفة كيفية تنظيم وتخزين بيانات الاعتماد المسروقة.

نجح المجرمون في اختراق أدوات ومشاريع مثل Trivy وLiteLLM وCheckmarx وTanStack وMistral AI، كما استهدفوا أيضًا GitHub وOpenAI والمفوضية الأوروبية، من بين أكثر من ألف شركة متضررة. كان الهدف من كل هذا إدخال برمجيات خبيثة واستغلال بيانات اعتماد المطورين لاحقًا.

في بعض هذه العمليات، استخدموا برنامج Mini Shai-Hulud، وهو دودة إلكترونية آلية قادرة على الانتشار الذاتي وتسهيل المزيد من الهجمات. وبفضل المعلومات التي حصل عليها المصدر الداخلي، تمكنت جوجل من اتخاذ الإجراءات اللازمة. كما أبلغت جوجل كلاً من AWS (خدمات أمازون السحابية) ومايكروسوفت بوجود بيانات اعتماد مسروقة حتى تتمكن من إلغائها قبل أن يتمكن المجرمون من استخدامها.

كما اكتشفوا أن أحد الأعضاء كان يستخدم الذكاء الاصطناعي لتطوير هجوم خبيث قادر على تجاوز نظام المصادقة الثنائية لبرنامج تسجيل دخول معروف. علاوة على ذلك، ساعد التحقيق في تحديد أعضاء المجموعة. ربطت جوجل أحد حساباتهم المستعارة بحساب بريد إلكتروني شخصي، واكتشفت أن بعض البيانات المسروقة كانت مخزنة في خدمة جوجل درايف المرتبطة بذلك الحساب.

قامت شركة جوجل بتسليم المعلومات إلى مكتب التحقيقات الفيدرالي، وفي نهاية أغسطس، ألقت الشرطة الفيدرالية الأسترالية القبض على روبن إيان تومسون ولويس مايكل غيبلر في بيرث. ويواجهان 14 تهمة. وتشير تقديرات السلطات إلى أن برنامج TeamPCP الخبيث قد أثر على أكثر من 1000 مؤسسة، وكشف أكثر من 500 ألف بيانات اعتماد، وسمح بسرقة ما لا يقل عن 300 غيغابايت من البيانات.