一只猫头像卖了整个黑客组织，从跨平台社工溯源到 TeamPCP 成员落网（Ruben Thomson 实录）

子午猫
子午猫

网络侦查研究院

2026年10月12日 06:50
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、起点：一张\"独一无二\"的猫头像

2026年最活跃的供应链攻击者之一 TeamPCP 于今年5月对 npm 生态发动攻击，波及 84 个 TanStack 包，技术含量高、潜伏时间长。但突破口并非高深技术——安全研究员约翰·哈蒙德注意到一个叫 DeadCatx3 的活跃账户，其头像是一只猫。把该图扔进 Google 反向图像搜索后发现：这张图在互联网上几乎没有其他匹配结果，说明它不是随便扒的图，而是一张独特照片。越独特，越好追。

二、跨平台关联：同一张头像暴露 Telegram 频道

顺着头像线索，同样的猫头像出现在 PCPsh 的 Telegram 频道。攻击者可能在多个平台为图省事或建立\"品牌识别\"而复用同一张照片，自以为平台间无关联，但图像本身就是跨平台的身份证。社工的核心教训：攻击者最大的漏洞往往不是代码，而是行为模式。由此锁定真实身份 Ruben Thomson（鲁本·汤姆森）。

三、句柄串起整条链：HackerOne、HuggingFace、TikTok、Steam

从 DeadCatx3 句柄出发，顺藤摸瓜找到其在 HackerOne（漏洞提交记录与攻击时间线吻合）、HuggingFace（活动匹配攻击者画像）、TikTok、Steam 的账户痕迹，时间线高度吻合，拼出完整画像。无需挖漏洞，只需足够耐心和细。

四、结局：执法介入，抓捕完成

所有调查结论最终经执法部门核实——Ruben Thomson 已被逮捕。威胁情报公司 Flare Systems 在调查早期即与哈蒙德共享成果并同意公开。这是近年来最成功的社区驱动型网络犯罪追踪案例之一。

情报价值：本文是\"社工溯源 / OSINT 反制\"的经典教材。对网安与反诈的启示：一是\"数字指纹无处不在\"——同一头像、同一句柄、同一时间线都是溯源锚点，攻击者在跨平台协同便利中也在积累可追踪痕迹；二是图像反向搜索（Google/钟馗/TinEye）是低成本高回报的溯源手段，应纳入情报核查工具箱；三是 Flare Systems 与研究员协作展示威胁情报共享的价值，防御方也须情报互通。

来源：Red Hunter / 黑白之道（2026-08-28 08:32 韩国）