UAT-11985 использует поддельные приглашения на мероприятия для фишинга через AITM

[zender]

Исследователи в области кибербезопасности обнародовали подробности кампании по целевому фишингу (APT), направленной на лиц, связанных с тайваньскими исследовательскими организациями, с целью перенаправить жертв на фишинговую платформу типа «злоумышленник посередине» (AitM), предназначенную для сбора учетных данных Google и кодов многофакторной аутентификации (MFA).


Данная активность отслеживается Cisco Talos под тикером UAT-11985 , и, по описанию, она, вероятно, подпитывается созданием контента с помощью искусственного интеллекта (ИИ) для быстрого создания индивидуальных приманок, нацеленных на различные цели в рамках общей схемы социальной инженерии. Кампания была впервые зафиксирована в середине 2026 года.


«В ходе операции использовались темы законных публичных мероприятий, а также выдавались за авторитетные академические и политические учреждения для создания видимости доверия», — заявил исследователь Talos Джои Чен в своем анализе.


«Помимо традиционного фишинга по электронной почте, злоумышленник использовал методы фишинга с помощью QR-кодов (квишинга), модифицируя легитимные рекламные плакаты мероприятий вредоносными QR-кодами, расширяя поверхность атаки за пределы получателей электронных писем и охватывая вторичных жертв, которые могут столкнуться с печатными материалами».


Ключевым моментом операции является использование достоверной или правдоподобной информации о публичных событиях в целевых фишинговых письмах и внедрение в них URL-адреса, указывающего на инфраструктуру, контролируемую злоумышленником, при этом при наведении курсора на гиперссылку отображается URL-адрес Google Forms, выглядящий вполне легитимно.

Несмотря на широкий спектр обсуждаемых геополитических тем, эти пригласительные письма имеют практически идентичную синтаксическую структуру, что указывает на то, что контент был массово создан на основе многоразового шаблона, а не тщательно разработан для каждой конкретной цели.

В частности, электронные письма имеют трехчастную структуру:

• В вводной части дается "отточенное (но излишне подробное) описание" геополитического или политического контекста.
• Второй раздел составлен с учетом предпочтений получателя и представляет его в выгодном свете, стремясь стимулировать взаимодействие.
• В третьем и заключительном разделе подробно описывается логистика мероприятия, включая тему, дату, место проведения и инструкции по регистрации.

Было установлено, что злоумышленник выдает себя за легитимные тайваньские учреждения, такие как Тайваньский центр Европейского союза, Институт международных отношений NCCU и Тайваньский научно-исследовательский институт, подделывая личности отправителей, чтобы сообщения выглядели более убедительными.


«В совокупности повторное использование практически идентичной повествовательной структуры, риторического стиля, персонализированной лести, имитации институциональной принадлежности и обманчивого механизма регистрации убедительно свидетельствует о скоординированной и тщательно спланированной фишинговой кампании, а не о трех независимых приглашениях», — заявил Талос.




В некоторых случаях фишинговые электронные письма содержат подлинные афиши мероприятий, скопированные с легитимных веб-сайтов, но с измененными QR-кодами, которые обманом заставляют жертв сканировать вредоносный QR-код для «регистрации» на мероприятие.


Фишинговый сайт имитирует внешний вид настоящей формы Google, но его основная цель — показать всплывающее окно, предлагающее жертве войти в свою учетную запись Google, чтобы заполнить форму. После этого она перейдет на поддельный сайт с фальшивой панелью входа в Google, чтобы получить учетные данные и пройти проверку подлинности.


Идеальная копия сайта представляет собой прокси-сервер типа «злоумышленник посередине» (AitM), использующий обфусцированный JavaScript для сбора и передачи введенной информации в режиме реального времени через соединение WebSocket, одновременно пересылая ее на легитимные серверы аутентификации Google.

Перед установлением соединения WebSocket, JavaScript-код собирает информацию об устройстве и браузере, включая локаль, пользовательский агент, размеры экрана и состояние мобильного устройства, которая затем передается на сервер управления и контроля (C2) посредством запроса "google_login_start".


Когда жертва вводит пароль, фишинговая страница передает его вместе с идентификатором учетной записи и информацией о пользовательском агенте браузера на HTTP C2-сервер злоумышленника посредством запроса "google_login_check". Сервер злоумышленника, расположенный в позиции AitM (атака террориста), затем пересылает учетные данные в фактическую службу аутентификации Google.


«Поддельные панели входа в Google поддерживают только упрощенный китайский (zh-CN), традиционный китайский (zh-TW) и английский языки, а определение региона основано на параметре 'navigator.languages' браузера жертвы, что убедительно указывает на ориентацию на китайскоязычных пользователей», — пояснил Чен.


«Преднамеренно разделяя одноразовые загрузки с помощью POST-запросов и обновления состояния с низкой задержкой через WebSocket-соединение, злоумышленник создал бесперебойную систему для сбора учетных данных. Это позволяет ему в режиме реального времени дублировать динамическое состояние аутентификации Google, в конечном итоге добиваясь полного захвата учетной записи, не вызывая подозрений у жертвы».

Источник