Google威胁情报团队日前在安全会议中透露，Google旗下公司 Mandiant 的安全研究员曾秘密潜伏到黑客团队 TeamPCP 的核心聊天群，持续监控该黑客团队针对开源软件生态系统发动的大规模供应链攻击。既然是卧底那当然也有卧底的好处，在黑客发起攻击前Google就已经提前协助受影响的企业和云服务商处置被盗的凭证。
建立虚拟角色获得黑客信任：
这名安全研究员被Google指派潜伏到黑客团伙中，为此团队花费时间建立虚拟角色并与某黑客互动建立信任，这名黑客是受邀参与 TeamPCP 团队的，基于这层信任所以Google团队的卧底分析师也成功被接纳并进入核心聊天群。
这个核心聊天群共有 12 人，主要讨论攻击进展、成功窃取的数据以及制定后续勒索计划等，TeamPCP 开发的蠕虫病毒可以在短时间内感染大量应用并窃取企业敏感数据，然后再通过敏感数据向企业勒索，如果企业不支付赎金那敏感数据就有可能被公开。
成为内鬼后窃取黑客数据并通知 AWS 吊销泄露的凭证：
在这场攻防战中Google安全团队的分析师担任的是内鬼角色，这名分析师发现黑客将大量用户名、密码和访问凭证集中存储在服务器中。相关线索被上报给Google安全团队，Google安全团队没有挨个通知受影响的企业 (因为效率太低)，而是直接联系亚马逊 AWS 批量吊销所有已经泄露的凭证。
完成凭证吊销后Google随后开始向受害企业发送邮件，帮助受害企业快速完成凭证轮换和收紧访问权限，这样黑客无法再通过泄露的凭证访问受害企业的内部设施并窃取数据。卧底分析师从未参与过发起攻击行动，而卧底行动则帮助Google收集 TeamPCP 更多内部信息。
两名核心成员被捕也与卧底有关：
值得注意的是Google透露，卧底分析师根据黑客在内部聊天群中的操作失误，向执法机构提供与涉嫌成员相关的线索。需要说明的是，TeamPCP 成员也都是通过互联网沟通的，这些成员分散在各个国家并且成员之间不知道对方的真实身份。
而早前美国联邦调查局和澳大利亚警方合作，在澳大利亚逮捕两名 TeamPCP 核心成员，虽然Google没详细说但大概率这两名核心成员被逮捕应该就和卧底分析师有关。