Я уже писал о недавнем аресте австралийца Рубена Томсона из TeamPCP, который, при всех своих хакерских талантах, оказался исключительно плох в опсеке.

Но, как выясняется, проблемы TeamPCP опсеком не ограничивались. У них ещё и контрразведка была примерно на том же уровне.

Google рассказал, что практически с самого начала большой кампании TeamPCP внутри группы сидел аналитик Mandiant под легендой. Его персонаж несколько месяцев втирался в доверие к одному из будущих участников TeamPCP, а когда того позвали в команду, вместе с ним туда фактически заехал и Google.

В итоге сотрудник Mandiant оказался в закрытом чате внутреннего круга примерно из дюжины человек и получил доступ даже к серверу, где хранились украденные пароли, ключи и токены. Пока TeamPCP обсуждала, кого следующим ломать и шантажировать, Google читал это из первого ряда, предупреждал жертв и просил Amazon, Microsoft и других провайдеров отзывать украденные учётные данные.

Потом стало ещё веселее. Партнёры TeamPCP из ShinyHunters решили кинуть коллег по цеху и сами прислали Google полную историю внутренних чатов — не подозревая, что Google эту историю и так уже читает.

Крота после этого из группы всё-таки выгнали.

И вот тут TeamPCP наконец продемонстрировала настоящий уровень контрразведки. По данным Google, Томсон сделал резервную копию украденных данных… на Google Drive. Привязанный к тому самому Gmail, который помогал вести к его настоящей личности.

То есть Google сначала сидел у них в чате, потом мешал им использовать украденные ключи, а в финале хакеры сами принесли добычу на серверы Google.

@gostev_future