Googles Bedrohungsanalysegruppe hat offengelegt, dass sie während ihrer beispiellosen Software-Versorgungskette-Angriffskampagne einen Unterdeckungsanalysten in der Hackergruppe Team PCP hatte. Auf der LABScon-Konferenz von Sentinel One, ging die Forscherin Austin Larsen detailliert darauf ein, wie Mandiant, das Sicherheitsunternehmen von Google, die Gruppe von innen „bereits fast vom ersten Tag“ durch eine Persona, die Vertrauen zu einem Akteur aufbaute, der später dazu eingeladen wurde, hineinzudringen. Dieser Zugang ermöglichte es Google, Angriffe zu überwachen, Opfer zu warnen und Ausnutzungsversuche zu stören.

Team PCP, das Ende 2025 auftrat, kompromittierte hunderte Open-Source-Programme – darunter Trivy, Lite LLM, Checkmarx, Tan Stack und Mistral AI – um Entwickleranmeldedaten zu stehlen und in einem wiederkehrenden Zyklus Schadsoftware zu platzieren. Die Gruppe drang mehr als tausend Unternehmen an, darunter GitHub, Mercor, OpenAI und die Europäische Kommission, oft unter Verwendung eines selbstverbreitenden Wurms namens Mini Shai-Hulud.

Ende März wurden Ruben Ian Thomson und Louis Michael Gaebler, beide Australier in ihren Anfangs 20ern, von der australischen Bundespolizei mit FBI-Unterstützung verhaftet und als „Hauptteilnehmer“ angeklagt. Google identifizierte sie durch die Überwachung von operativen Sicherheitsfehlern und erhielt Informationen von der rivalisierenden Cyberkriminalgruppe Shiny Hunters, die mit Team PCP zusammengearbeitet und sich später gegen sie gewandt hatte.

Wichtige Entitäten: Unternehmen: Google, Mandiant, Sentinel One, Trivy, Lite LLM, Checkmarx, Tan Stack, Mistral AI, GitHub, Mercor, OpenAI, Shiny Hunters | Personen: Austin Larsen, Ruben Ian Thomson, Louis Michael Gaebler | Standorte: Australia, European Commission