Uma campanha avançada e persistente de spear-phishing teve como alvo pessoas ligadas a organizações de pesquisa de Taiwan. A operação combina convites para eventos provavelmente criados com auxílio de inteligência artificial e a interceptação, em tempo real, da autenticação do Google.
Identificada como UAT-11985, a operação usa falsificação de identidade institucional, códigos QR (resposta rápida) alterados e uma estrutura de phishing do tipo adversário no meio para roubar credenciais e sessões autenticadas.
Os invasores reaproveitaram informações públicas legítimas sobre eventos para dar credibilidade a convites fraudulentos. Quando os destinatários entraram em contato com as instituições, nenhuma delas confirmou que os supostos remetentes fossem funcionários ou representantes autorizados.
Os e-mails seguiam uma estrutura quase idêntica, dividida em três partes: comentários geopolíticos elaborados, elogios personalizados e instruções para inscrição em eventos.
Referências a perspectivas de especialistas, participação exclusiva e assentos reservados exploravam o prestígio profissional dos destinatários.
Embora os temas e as instituições variassem, a sintaxe repetitiva e os elogios intercambiáveis sugeriam o uso de um modelo reutilizável para geração de conteúdo, em vez de convites escritos individualmente.
A Talos encontrou fortes indícios de produção e personalização com auxílio de inteligência artificial. No entanto, não conseguiu comprovar de forma conclusiva que um modelo de linguagem de grande porte tenha gerado as mensagens.
Essa distinção é importante: a fluência do texto e a retórica padronizada sustentam uma avaliação, mas não uma atribuição definitiva. Datas, locais e descrições autênticas dos eventos davam credibilidade às mensagens, enquanto links de inscrição disfarçados levavam as vítimas a uma infraestrutura controlada pelos invasores.
A Talos observou que os painéis falsos de login do Google ofereciam suporte apenas aos idiomas chinês simplificado, chinês tradicional e inglês. A região era identificada com base na propriedade navigator.languages do navegador da vítima.
Pesquisadores da Cisco Talos afirmaram que a campanha se passou pelo Centro da União Europeia em Taiwan, pelo Instituto de Relações Internacionais da Universidade Nacional de Chengchi (NCCU) e pelo Instituto de Pesquisa de Taiwan.
Convites para eventos gerados com auxílio de IA
Um dos hiperlinks exibia um endereço do Google Forms com aparência legítima, mas seu destino real levava a um site de phishing hospedado em uma plataforma de terceiros.
Cartazes anexados ampliavam o engano: os invasores copiavam designs autênticos e substituíam os códigos QR.
A Talos avaliou que cartazes impressos poderiam expor outras vítimas, caso elas escaneassem os códigos de inscrição em murais de escritórios.
A página maliciosa de inscrição imitava o Google Forms e, em seguida, redirecionava os visitantes à força para uma interface falsa de login do Google.
O kit era compatível com chinês simplificado, chinês tradicional e inglês, e selecionava o idioma da página de acordo com as preferências do navegador.
Um código JavaScript ofuscado, inserido próximo ao fim do documento HTML (linguagem de marcação de hipertexto), usava cadeias de caracteres em Base64, rotação de arrays e manipulação do fluxo de controle para dificultar a análise.
Diferentemente dos sistemas que apenas coletam credenciais, essa estrutura permite que o operador coordene o processo de autenticação. Solicitações HTTP (protocolo de transferência de hipertexto) do tipo POST (envio de dados) transmitem impressões digitais do navegador, identificadores de conta, senhas e respostas a desafios para a infraestrutura de comando e controle.
Uma conexão WebSocket, protocolo de comunicação bidirecional em tempo real, envia instruções ao navegador da vítima. Isso permite que os invasores alterem as telas de autenticação de acordo com as respostas do serviço legítimo de autenticação do Google.
O fluxo começa com google_login_start, que envia informações sobre o dispositivo e o navegador. O evento google_input_identifier encaminha um endereço de e-mail ou número de telefone para verificação da conta.
O envio de senhas usa google_login_check. Quando o Google solicita uma verificação adicional, atualizações por WebSocket exibem o desafio correspondente e mantêm a interface falsa sincronizada com o processo de autenticação legítimo.
Esse mecanismo de retransmissão permite que os invasores capturem tokens de sessão autenticada depois que as vítimas concluem os desafios de autenticação multifator (MFA), possibilitando a tomada de controle das contas.
Trata-se de interceptação de autenticação, não de uma vulnerabilidade divulgada no Google. Uma análise relacionada da Talos sobre a estrutura de phishing JWR descreve outro modelo controlado por operadores que usa WebSocket, embora os pesquisadores diferenciem sua implementação e campanha da UAT-11985.
A Talos avaliou, com confiança moderada, que a interface tinha origem em chinês simplificado. A conclusão se baseia no objeto de tradução original, nas opções de idioma padrão e em termos associados à China continental.
As ferramentas de detecção divulgadas incluem a assinatura ClamAV Html.Phishing.UAT11985-10060614-0, a regra Snort2 1:67198 e a regra Snort3 7:31. Elas oferecem referências concretas para que equipes de defesa identifiquem atividades associadas a essa estrutura de phishing em ambientes organizacionais e redes monitoradas.
Interrompa ameaças cibernéticas antes que causem impacto e reduza em 21 minutos o tempo médio de reparo (MTTR). Integre o ambiente isolado de análise da ANY.RUN ao seu centro de operações de segurança (SOC).
