UAT-11985 utiliza invitaciones falsas a eventos para atacar a investigadores afiliados de Taiwán mediante un ataque de phishing de Google AitM

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han re­ve­la­do una cam­pa­ña de phishing di­ri­gi­da a per­so­nas vin­cu­la­das con or­ga­ni­za­cio­nes de in­ves­ti­ga­ción en Tai­wán. Esta ac­ti­vi­dad ma­li­cio­sa es ras­trea­da bajo un nom­bre es­pe­cí­fi­co y se ca­rac­te­ri­za por el uso pro­ba­ble de ge­ne­ra­ción de con­te­ni­do asis­ti­da por in­te­li­gen­cia ar­ti­fi­cial para crear an­zue­los per­so­na­li­za­dos con ra­pi­dez.

Para lo­grar cre­di­bi­li­dad, la ope­ra­ción su­plan­ta la iden­ti­dad de ins­ti­tu­cio­nes aca­dé­mi­cas y de po­lí­ti­cas pú­bli­cas le­gí­ti­mas uti­li­zan­do temas de even­tos pú­bli­cos. Los co­rreos elec­tró­ni­cos de la cam­pa­ña em­plean una es­truc­tu­ra re­pe­ti­ti­va que in­clu­ye una des­crip­ción con­tex­tual, un apar­ta­do per­so­na­li­za­do para ha­la­gar al re­cep­tor y los de­ta­lles lo­gís­ti­cos del even­to. Asi­mis­mo, los ata­can­tes han uti­li­za­do téc­ni­cas de su­plan­ta­ción me­dian­te có­di­gos QR in­ser­ta­dos en car­te­les mo­di­fi­ca­dos para am­pliar su al­can­ce hacia víc­ti­mas se­cun­da­rias.

El ob­je­ti­vo prin­ci­pal de estos men­sa­jes es re­di­ri­gir a los usua­rios hacia una in­fra­es­truc­tu­ra con­tro­la­da por los ata­can­tes que mues­tra un for­mu­la­rio falso si­mi­lar al de un ser­vi­cio co­no­ci­do. A tra­vés de un proxy que opera en el medio, los ope­ra­do­res cap­tu­ran en tiem­po real las cre­den­cia­les y los có­di­gos de au­ten­ti­ca­ción mul­ti­fac­to­rial de las cuen­tas de Goo­gle de las víc­ti­mas, lo­gran­do un con­trol total sin le­van­tar sos­pe­chas. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la ope­ra­ción.