UAT-11985 Uses Fake Event Invites to Target Taiwan Research Affiliates With Google AitM Phishing
The Hacker News · 16 oct, 18:16
El grupo UAT-11985 ha ejecutado una campaña de phishing dirigida contra investigadores taiwaneses usando invitaciones falsas a eventos y código QR malicioso para robar credenciales de Google y códigos de autenticación multifactor. La operación utilizó generación de contenido asistida por IA para crear mensajes de suplantación personalizados que imitaban instituciones académicas legítimas taiwanesas, combinando ataques por correo electrónico con técnicas de "quishing" en pósters modificados.
El ataque empleó una estructura de tres partes idéntica en todos los correos, lo que sugiere que el contenido fue generado desde una plantilla de prompt reutilizable en lugar de ser elaborado manualmente para cada objetivo. Los mensajes ofrecían descripciones detalladas del contexto geopolítico, incluían halagos personalizados al destinatario y proporcionaban logística del evento, mientras que los hipervínculos apuntaban a infraestructura controlada por el atacante aunque mostraban URLs de Google Forms legítimas al pasar el ratón.
El sitio de phishing implementaba un proxy adversario en el medio (AitM) que replicaba con precisión la interfaz de inicio de sesión de Google, utilizando JavaScript ofuscado para capturar credenciales y códigos de autenticación en tiempo real a través de una conexión WebSocket, mientras las reenviaba simultáneamente a los servidores de autenticación legítimos de Google. La carga útil JavaScript recopilaba información del dispositivo y navegador (idioma, agente de usuario, dimensiones de pantalla, estado móvil) antes de establecer la conexión WebSocket. Los paneles de inicio de sesión suplantados solo soportaban chino simplificado, chino tradicional e inglés, indicando orientación hacia usuarios de habla china.
Puntos clave
- Campaña dirigida contra investigadores de instituciones taiwanesas desde mediados de 2026
- Uso de IA para generar plantillas de contenido reutilizables en correos de phishing
- Ataque AitM con proxy que captura credenciales y códigos MFA en tiempo real
- Impersonación de instituciones taiwanesas legítimas (Taiwan European Union Centre, NCCU Institute of International Relations, Taiwan Research Institute)
- Combinación de phishing por correo y técnicas de "quishing" con códigos QR modificados en pósters
Figuras de la fuente
