محلل من جوجل يتسلل إلى عصابة قرصنة ويكتشف أن المجرمين أيضًا سيئون في أمن العمليات

في تطور يبدو وكأنه مخطط حبكة رُفض لأنه مباشر أكثر من اللازم، كشفت مجموعة استخبارات التهديدات في جوجل أن أحد باحثيها المتخفيين قد تسلل إلى TeamPCP - عصابة القرصنة الشهيرة في سلسلة التوريد - منذ الأيام الأولى تقريبًا لظهور المجموعة على الساحة. راقبت الشركة موجة القرصنة من الداخل، وحذرت أهداف الاختراق، بل وساعدت في إحباط محاولات المجموعة لاستغلال الضحايا.

عصابة القرصنة TeamPCP، قبل أن يُعتقل ويُتهم عضوان مزعومان في أستراليا الشهر الماضي، نفذت ما وصفته Ars Technica بأنه موجة قرصنة لا مثيل لها في التاريخ. لقد لوثت مئات البرامج مفتوحة المصدر بالبرمجيات الخبيثة، وسرقت حسابات المطورين لمواصلة اختراق سلسلة توريد البرمجيات، بل وأطلقت دودة ذاتية الانتشار مستوحاة من فيلم Dune لأتمتة العملية - لتخترق في النهاية أكثر من ألف شركة. لا شيء يقول "نحن الأشرار" مثل تسمية دودتك على اسم ديدان الرمل، لكن ها نحن ذا.

في مؤتمر LABScon البحثي لشركة الأمن SentinelOne اليوم، سيعرض الباحث في مجموعة استخبارات التهديدات في جوجل أوستن لارسن تفاصيل تحقيق الشركة - وتسللها - إلى TeamPCP. وفقًا للارسن، تتبعت جوجل في النهاية سلسلة من أخطاء أمن العمليات المزعومة التي ارتكبها أحد الأستراليين المتهمين حاليًا بأنه عضو قيادي في عصابة القرصنة، ومررت تفاصيل تعريفية رئيسية إلى السلطات. كما تلقت الشركة معلومات استخباراتية من ShinyHunters، وهي مجموعة إجرامية إلكترونية سيئة السمعة أخرى تعاونت مع TeamPCP، لكنها انقلبت لاحقًا على قراصنة سلسلة التوريد. وربما الأكثر إثارة للدهشة، يقول لارسن إن شركة ماندينت، التابعة لجوجل، كان لديها محلل متخفٍ - ليس هو نفسه - داخل الدائرة المقربة للمجموعة منذ بداية ظهور TeamPCP تقريبًا.

قال لارسن لمجلة WIRED في مقابلة قبل حديثه في LABScon: "كان أحد هوياتنا المزيفة يعمل لعدة أشهر لبناء الثقة مع أحد العناصر الذين دُعوا للانضمام إلى TeamPCP، وبالتالي أُضيف إلى المجموعة. لذا، بشكل أساسي، منذ اليوم الأول تقريبًا، كانت ماندينت تراقب كل شيء خلف الكواليس." لأن لا شيء يبني الثقة مثل هوية مزيفة وأشهر من الخداع الصبور - وهو، بإنصاف، أيضًا كيفية عمل معظم التواصل على لينكد إن.

في أواخر الشهر الماضي، ألقت الشرطة الأسترالية القبض على روبن إيان طومسون ولويس مايكل غايبلر، وكلاهما أستراليان في أوائل العشرينات من العمر، في تحقيق مشترك بمساعدة مكتب التحقيقات الفيدرالي، بتهم قرصنة، ووصفتهما الشرطة الفيدرالية الأسترالية (AFP) - في بيان صحفي لم تذكر أسماءهما بسبب قوانين الخصوصية الأسترالية - بأنهما "مشاركان رئيسيان" في TeamPCP. عصابة القرصنة، التي يبدو أنها ظهرت لأول مرة على الإنترنت في أواخر 2025، تصدرت العناوين بسلسلة جريئة من هجمات سلسلة التوريد المتتالية: اخترقت مرارًا برامج مفتوحة المصدر لإخفاء برمجياتها الخبيثة، مما سمح لها باختطاف بيانات اعتماد مطوري البرامج وزرع شفرتها الخبيثة في أداة أخرى مستخدمة على نطاق واسع، في دورة متكررة. إنها مثل مخطط هرمي، لكن للبرمجيات الخبيثة - وبفرص خروج أسوأ.

بدءًا من هذا الربيع، على سبيل المثال، اخترقت TeamPCP ماسح الأمان مفتوح المصدر Trivy، وأداة واجهة برمجة تطبيقات الذكاء الاصطناعي LiteLLM، والبنية التحتية لشركة أمن تطبيقات الويب Checkmarx، ومكتبة تطبيقات الويب TanStack، ومنصة الذكاء الاصطناعي للمؤسسات Mistral AI. تلك الهجمات المتكررة على سلسلة التوريد، التي مكنت المجموعة من إلقاء شباكها مرة أخرى لمزيد من الضحايا، سمحت للقراصنة في النهاية باختراق مستودع الكود مفتوح المصدر GitHub، وشركة التعاقد على البيانات Mercor، وأجهزة الموظفين في OpenAI، والمفوضية الأوروبية، والعديد من الآخرين الذين ظلوا مجهولين في التقارير العامة. في بعض الأحيان، نشرت المجموعة دودة تُعرف باسم Mini Shai-Hulud، سُميت على اسم ديدان الرمل في Dune، لأتمتة قرصنتها والتوسع إلى مزيد من الضحايا. (يبدو أن الاسم يشير أيضًا إلى دودة Shai-Hulud سابقة أن القراصنة