Badacze z Cisco Talos zidentyfikowali kampanię grupy UAT-11985, która celuje w osoby powiązane z tajwańskimi organizacjami badawczymi. Atak opiera się na precyzyjnym spear-phishingu, w którym napastnicy podszywają się pod renomowane instytucje akademickie i polityczne, oferując zaproszenia na wydarzenia geopolityczne.
Napastnicy wykorzystują techniki AitM (Adversary-in-the-Middle), aby w czasie rzeczywistym przechwytywać dane logowania oraz kody MFA do kont Google. Wykorzystują do tego złośliwe proxy, które przesyła dane użytkownika do prawdziwych serwerów Google przez połączenie WebSocket, co pozwala na bezszelestne przejęcie sesji.
Kampania charakteryzuje się wysokim stopniem zaawansowania dzięki wykorzystaniu AI do generowania spersonalizowanych treści. Atakujący stosują również quishing, czyli umieszczanie złośliwych kodów QR na plakatach wydarzeń, co rozszerza wektor ataku poza tradycyjną pocztę elektroniczną.
Mechanizm działania polega na przekierowaniu ofiary na fałszywą stronę Google Forms, która następnie wyświetla idealnie odwzorowany panel logowania. Skrypt JavaScript zbiera informacje o urządzeniu i przeglądarce, a następnie przesyła skradzione poświadczenia bezpośrednio do serwera C2 napastnika.
