China-Aligned TA419 Targets U.S. AI Policy Experts With Microsoft AitM Phishing
The Hacker News · 4 oct, 09:20
El grupo de ciberespionaje TA419, alineado con China, ha lanzado campañas de phishing dirigidas a expertos en política de IA de think tanks, universidades y organizaciones legales estadounidenses. Los atacantes impersonan a economistas, responsables políticos de IA e incluso empleados de Anthropic, utilizando técnicas sofisticadas como Frameless BitM (adversario en el medio) en combinación con redirecciones en cadena para robar credenciales de Microsoft. La actividad busca obtener inteligencia sobre el panorama regulatorio de IA en EE.UU. en un contexto de competencia geopolítica intensa.
TA419 opera desde al menos abril de 2025 como actor de espionaje motivado por China, con historial de dirigirse a think tanks estadounidenses y japoneses, contratistas de defensa, universidades y bufetes legales. Las campañas comienzan con invitaciones inofensivas que generan confianza, evolucionando hacia URLs acortadas que activan una cadena de redirecciones terminando en una página de phishing de OneDrive tras superar una verificación Cloudflare Turnstile.
La técnica Frameless BitB spoofea páginas de inicio de sesión legítimas mediante inyección de scripts HTML, CSS y JavaScript sin usar iframes. TA419 ha extendido esta herramienta de código abierto con un módulo telemetría y automatización personalizado que rastrear el flujo de inicio de sesión de Microsoft y captura credenciales mediante proxy AitM mientras releva la información a la infraestructura real de Microsoft en segundo plano, evitando que la víctima perciba la intrusión al completarse exitosamente el inicio de sesión.
Puntos clave
- Campañas dirigidas a expertos en política de IA desde febrero y julio de 2026
- Impersonación de líderes del White House OSTP y empleados de Anthropic
- Técnica Frameless BitB + proxy AitM para captura silenciosa de credenciales
- Objetivo: inteligencia sobre regulación de IA estadounidense y distilación de modelos
- Recomendación: activar autenticación resistente a phishing (passkeys)
Figuras de la fuente
