Гостев из будущего

Сегодня в Австралии арестовали двух предполагаемых участников TeamPCP — 21-летнего Ruben Ian Thomson и 23-летнего Louis Michael Gaebler. Thomson следствие считает одним из основных операторов группы. Прикол в том, что TeamPCP, похоже, успели практически деанонимизироваться ещё до ареста. До этого существовало несколько версий об их происхождении. Из-за проверки RU-locale, русских и славянских отсылок (Koschei, BABA-YAGA)в malware и модуля «русская рулетка» обсуждался российский след. Antiy, наоборот, пришла к выводу, что эти признаки слишком демонстративны и скорее похожи на false flag. Параллельно ходила версия об израильском происхождении операторов — вплоть до предположений о бывших сотрудниках Wiz и выходцах из Unit 8200. Серьёзных подтверждений у неё не было. У Google к июню была гораздо более прозаичная картина. Они считали, что это вообще не устойчивая группа: значительная часть операций, вероятно, выполнялась одним человеком, иногда с сообщниками. В активности также фиксировали residential/mobile IP из Южной Африки. Теперь известно, что семья Ruben Thomson имеет связи с South Africa. Но главное — OSINT. С TeamPCP постепенно связали целую цепочку псевдонимов: PCPcat → DeadCatx3 → BulkDMT → EllisD25 → Express. Связи находили по повторно используемым Tox ID, Session ID, Telegram-контактам и инфраструктуре. Дальше начался плохой OPSEC. DeadCatx3 обнаружился на HackerOne — профиль был оформлен на имя Ruben Thomson. Тот же ник появился на Hugging Face рядом с доменом masscan. cloud. Позже этот домен использовался TeamPCP в инфраструктуре Mini-Shai-Hulud. KELA раскрутила историю дальше. Старые Telegram-аккаунты вели в локальные чаты Перта. Затем нашлись PayPal, Truecaller, Facebook, старые игровые аккаунты, утёкшие email и Google Maps. Все независимые цепочки снова сходились на Ruben Thomson из Perth. Brian Krebs сообщил после ареста, что установил личность Thomson ещё в июне и с тех пор общался с ним. Его цепочка была отдельной: аккаунт Express на BreachForums → Gmail → старый аккаунт RaidForums → residential IP в Perth → домашние Synology/QNAP → семейные аккаунты → Ruben Thomson. Смешным пунктом оказался Airbnb. В профиле Thomson было написано: “Hey, I’m Ruben, my friends call me Ellis.” EllisD25 — один из старых псевдонимов, связанных с TeamPCP. Пока обсуждались Россия, Израиль и Unit 8200, предполагаемый оператор TeamPCP оставил OSINT-цепочку из форумных ников, HackerOne с настоящим именем, PayPal, домашних IP и Airbnb 😂 @gostev_future