گروه تحلیلگران تهدیدات گوگل (Google Threat Intelligence Group) از جزئیات عملیاتی پیچیده برای نفوذ به یکی از خطرناک‌ترین گروه‌های هکری متخصص در حملات زنجیره تأمین (Supply-Chain Attacks) به نام TeamPCP پرده برداشتند. این گروه توانسته بود با آلوده کردن صدها برنامه متن‌باز (Open-source)، دسترسی به حساب‌های توسعه‌دهندگان و استفاده از یک کرم خودانتشار (Self-spreading Worm) با نام Mini Shai-Hulud، بیش از هزار شرکت را مورد هدف قرار دهد.
استراتژی نفوذ و نظارت داخلی
طبق گزارش‌های منتشر شده، شرکت Mandiant (زیرمجموعه امنیتی گوگل) موفق شد یکی از تحلیلگران خود را به عنوان یک عضو جدید در حلقه داخلی این گروه جای دهد. این تحلیلگر برای چندین ماه اعتماد اعضای TeamPCP را جلب کرد تا در نهایت به چت مرکزی گروه با نام CanisterWorm دسترسی پیدا کند. این دسترسی به گوگل اجازه داد تا تمامی فعالیت‌ها، اهداف و متدهای این گروه را از نزدیک رصد کرده و پیش از اجرای حملات، اقدامات پیشگیرانه را آغاز کند.
خرد کردن عملیات با همکاری ارائه‌دهندگان ابری
تحلیلگران گوگل با دسترسی به سروری که TeamPCP اطلاعات سرقتی (Credentials) قربانیان را در آن ذخیره می‌کرد، لیستی از نام‌های کاربری، رمز عبور و توکن‌های دسترسی را به دست آوردند. برای جلوگیری از اتلاف وقت در اطلاع‌رسانی تک‌تک قربانیان، گوگل مستقیماً با ارائه‌دهندگانی نظیر AWS و Microsoft تماس گرفت تا این دسترسی‌های سرقتی را سریعاً ابطال (Revoke) کنند و بدین ترتیب مسیر اکسپلویت کردن قربانیان توسط هکرها مسدود شود.
کشف اکسپلویت Zero-Day ساخته شده توسط AI
یکی از دستاوردهای مهم این نفوذ، شناسایی تلاش یکی از اعضای گروه برای توسعه یک اکسپلویت Zero-Day با استفاده از ابزارهای هوش مصنوعی بود. این اکسپلویت هدفش دور زدن مکانیزم احراز هویت دو مرحله‌ای (2FA) در یک نرم‌افزار رایج ورود (Login) بود. گوگل پس از دریافت کد اکسپلویت و تست آن، سریعاً توسعه‌دهنده نرم‌افزار را مطلع کرد و منجر به انتشار وصله امنیتی (Patch) شد.
اشتباهات OpSec و بازداشت اعضا
در نهایت، ترکیب اطلاعات به‌دست‌آمده از نفوذ داخلی و تحلیل‌های دیجیتال (Digital Forensics)، منجر به شناسایی هویت اعضای اصلی گروه شد. تحلیلگران گوگل با ردیابی یک آدرس Gmail در تالارهای گفتگو (Forums) و بررسی تراکنش‌های PayPal، توانستند هویت یکی از اعضا را کشف کنند. همچنین مشخص شد که این فرد به اشتباه نسخه‌های پشتیبان داده‌های سرقتی را روی Google Drive شخصی خود ذخیره کرده است. این اطلاعات در اختیار FBI و پلیس فدرال استرالیا (AFP) قرار گرفت که منجر به بازداشت دو عضو کلیدی این گروه در استرالیا شد.
تغییر رویکرد گوگل به سمت «disruption»
این عملیات نشان‌دهنده تغییر استراتژی گوگل در مقابله با تهدیدات سایبری است. تأسیس Cyber Disruption Unit در گوگل نشان می‌دهد که این شرکت دیگر تنها به انتشار گزارش‌های تحلیل تهدید اکتفا نمی‌کند و به دنبال اقدامات فعالانه برای مختل کردن عملیات گروه‌های مجرم و APTهاست تا از آسیب دیدن کاربران و مشتریان جلوگیری کند.
