Связанная с Китаем кибершпионская группа TA419 проводит кампании по краже учётных данных как минимум с апреля 2025 года. По данным компании Proofpoint, её интересуют сотрудники американских и японских аналитических центров, университетов, юридических организаций и адвокатских фирм, оборонных подрядчиков. Среди постоянных тем разведывательного поиска — оборона, национальная безопасность, энергетика, международные отношения и внешняя политика. Новая серия атак направлена на американских экспертов, которые участвуют в обсуждении регулирования искусственного интеллекта.
Proofpoint связывает операции TA419 с более широкими разведывательными задачами Китая. Вероятная цель — получить сведения о том, как в США собираются контролировать разработку ИИ, его экспорт и военное применение. Кампания разворачивается на фоне стратегического соперничества США и Китая, взаимных претензий по поводу дистилляции моделей, американских экспортных ограничений и борьбы за влияние на правила управления ИИ. Анализ активности группы Proofpoint опубликовала на этой неделе, но точная дата публикации в доступных данных не названа.
В феврале 2026 года TA419 выбрала целью специалиста по ИИ-политике из американского аналитического центра. Злоумышленники выдавали себя за известных экономистов, политиков, занимающихся искусственным интеллектом, и заметного сотрудника Anthropic. Одно из писем получило тему «Просьба высказать мнение о военной интеграции Claude». Claude — модель искусственного интеллекта компании Anthropic, поэтому приглашение обсудить её возможное военное использование выглядело для адресата вполне профессиональным. Имена людей, чьи личности были использованы, Proofpoint не раскрыла.
Примерно в июле 2026 года группа вновь атаковала американских экспертов по ИИ-политике, рассылая письма от имени нескольких реальных специалистов. Среди подставных отправителей оказался бывший член руководящей команды Управления научно-технической политики Белого дома — White House Office of Science and Technology Policy. Его имя, как и имена экономистов, политиков и сотрудника Anthropic из февральской кампании, в материалах не приводится. Расчёт строился на доверии к должности и на точном совпадении темы письма с кругом интересов получателя.
Первое сообщение обычно не содержало грубой приманки вроде требования срочно сменить пароль. TA419 начинала с безобидного приглашения, просьбы прокомментировать документ или предложения обсудить узкий профессиональный вопрос. Так создавалась правдоподобная переписка, после которой ссылка на страницу входа уже не казалась чужой. Адресатов подбирали по их компетенции: эксперту по оборонной политике предлагали тему, связанную с обороной, специалисту по ИИ — разговор о регулировании или Claude. Подмена личности при таком подходе работала убедительнее массового фишинга.
Для перехвата входа использовалась техника Frameless BitB, то есть «браузер в браузере без рамки». Обычная атака Browser-in-the-Browser, или BitB, рисует внутри настоящей вкладки ложное окно авторизации: HTML, CSS и JavaScript имитируют доверенный сайт, форму входа либо привычное всплывающее окно. Вариант Frameless BitB убирает заметные детали, по которым пользователь мог бы распознать искусственно созданное браузерное окно. Исходное содержимое страницы меняется инъекцией сценариев и HTML, а также операциями поиска и замены, которые называют substitutions.
Исследователь безопасности Ваэль Масри (Wael Masri) ещё в январе 2024 года описывал механику Frameless BitB: «Этого можно добиться, внедряя сценарии и HTML рядом с исходным содержимым при помощи поиска и замены, также называемых подстановками, а затем полностью полагаясь на приёмы HTML, CSS и JavaScript для создания визуального эффекта». Пользователь видит знакомую форму Microsoft, хотя её внешний вид и поведение частично контролирует атакующий. Отсутствие подозрительной рамки делает обычную проверку адресной строки или оформления всплывающего окна менее полезной.
TA419 соединяет Frameless BitB с прокси AitM — adversary-in-the-middle, «злоумышленник посередине». Управляемая группой инфраструктура встаёт между жертвой и настоящей системой аутентификации Microsoft. Введённые данные проходят через прокси и пересылаются реальной службе Microsoft, поэтому вход может завершиться успешно. Одновременно атакующие получают логин, пароль, сведения об аутентификации и итоговые сеансовые cookie. Последние особенно опасны: с их помощью можно повторно использовать уже подтверждённый сеанс, не вводя украденный пароль заново.
По оценке Proofpoint, TA419 расширила существующий инструмент с открытым исходным кодом собственным модулем телеметрии и автоматизации. Этот модуль отслеживает весь процесс входа в Microsoft, наблюдает за этапами проверки, перехватывает учётные данные через AitM-прокси и незаметно передаёт их настоящей инфраструктуре Microsoft. Когда служба возвращает данные авторизованного сеанса, модуль сохраняет сеансовые cookie. Для жертвы всё выглядит почти буднично: пароль принят, страница открылась, ошибки нет. Именно успешный вход маскирует кражу.
Защита должна опираться на устойчивую к фишингу аутентификацию, прежде всего passkeys — ключи доступа, которые привязаны к настоящему сайту и не передают злоумышленнику пригодный для повторного использования секрет. Организациям стоит отказаться от методов, которые AitM-прокси способен перехватить вместе с паролем. Потенциальным целям следует отдельно проверять личность отправителя, используя ранее известный адрес или другой независимый канал, и настороженно относиться к неожиданным приглашениям по вопросам ИИ, обороны, национальной безопасности и внешней политики. Успешная авторизация Microsoft сама по себе не доказывает, что страница была безопасной.
Proofpoint формулирует профиль группы так: «TA419 последовательно проявляла интерес к целям, связанным с обороной, национальной безопасностью, энергетикой, международными отношениями и внешней политикой, преимущественно имеющим отношение к США и Японии». Атаки на специалистов по искусственному интеллекту укладываются в прежний круг разведывательных задач: «Выбор экспертов по ИИ-политике расширяет эту сферу интересов, а не означает отход от неё». Для TA419 политика в области ИИ стала соседней частью того же массива сведений, где пересекаются технологии, государственное регулирование и военное планирование.
Изображение носит иллюстративный характер
Proofpoint связывает операции TA419 с более широкими разведывательными задачами Китая. Вероятная цель — получить сведения о том, как в США собираются контролировать разработку ИИ, его экспорт и военное применение. Кампания разворачивается на фоне стратегического соперничества США и Китая, взаимных претензий по поводу дистилляции моделей, американских экспортных ограничений и борьбы за влияние на правила управления ИИ. Анализ активности группы Proofpoint опубликовала на этой неделе, но точная дата публикации в доступных данных не названа.
В феврале 2026 года TA419 выбрала целью специалиста по ИИ-политике из американского аналитического центра. Злоумышленники выдавали себя за известных экономистов, политиков, занимающихся искусственным интеллектом, и заметного сотрудника Anthropic. Одно из писем получило тему «Просьба высказать мнение о военной интеграции Claude». Claude — модель искусственного интеллекта компании Anthropic, поэтому приглашение обсудить её возможное военное использование выглядело для адресата вполне профессиональным. Имена людей, чьи личности были использованы, Proofpoint не раскрыла.
Примерно в июле 2026 года группа вновь атаковала американских экспертов по ИИ-политике, рассылая письма от имени нескольких реальных специалистов. Среди подставных отправителей оказался бывший член руководящей команды Управления научно-технической политики Белого дома — White House Office of Science and Technology Policy. Его имя, как и имена экономистов, политиков и сотрудника Anthropic из февральской кампании, в материалах не приводится. Расчёт строился на доверии к должности и на точном совпадении темы письма с кругом интересов получателя.
Первое сообщение обычно не содержало грубой приманки вроде требования срочно сменить пароль. TA419 начинала с безобидного приглашения, просьбы прокомментировать документ или предложения обсудить узкий профессиональный вопрос. Так создавалась правдоподобная переписка, после которой ссылка на страницу входа уже не казалась чужой. Адресатов подбирали по их компетенции: эксперту по оборонной политике предлагали тему, связанную с обороной, специалисту по ИИ — разговор о регулировании или Claude. Подмена личности при таком подходе работала убедительнее массового фишинга.
Для перехвата входа использовалась техника Frameless BitB, то есть «браузер в браузере без рамки». Обычная атака Browser-in-the-Browser, или BitB, рисует внутри настоящей вкладки ложное окно авторизации: HTML, CSS и JavaScript имитируют доверенный сайт, форму входа либо привычное всплывающее окно. Вариант Frameless BitB убирает заметные детали, по которым пользователь мог бы распознать искусственно созданное браузерное окно. Исходное содержимое страницы меняется инъекцией сценариев и HTML, а также операциями поиска и замены, которые называют substitutions.
Исследователь безопасности Ваэль Масри (Wael Masri) ещё в январе 2024 года описывал механику Frameless BitB: «Этого можно добиться, внедряя сценарии и HTML рядом с исходным содержимым при помощи поиска и замены, также называемых подстановками, а затем полностью полагаясь на приёмы HTML, CSS и JavaScript для создания визуального эффекта». Пользователь видит знакомую форму Microsoft, хотя её внешний вид и поведение частично контролирует атакующий. Отсутствие подозрительной рамки делает обычную проверку адресной строки или оформления всплывающего окна менее полезной.
TA419 соединяет Frameless BitB с прокси AitM — adversary-in-the-middle, «злоумышленник посередине». Управляемая группой инфраструктура встаёт между жертвой и настоящей системой аутентификации Microsoft. Введённые данные проходят через прокси и пересылаются реальной службе Microsoft, поэтому вход может завершиться успешно. Одновременно атакующие получают логин, пароль, сведения об аутентификации и итоговые сеансовые cookie. Последние особенно опасны: с их помощью можно повторно использовать уже подтверждённый сеанс, не вводя украденный пароль заново.
По оценке Proofpoint, TA419 расширила существующий инструмент с открытым исходным кодом собственным модулем телеметрии и автоматизации. Этот модуль отслеживает весь процесс входа в Microsoft, наблюдает за этапами проверки, перехватывает учётные данные через AitM-прокси и незаметно передаёт их настоящей инфраструктуре Microsoft. Когда служба возвращает данные авторизованного сеанса, модуль сохраняет сеансовые cookie. Для жертвы всё выглядит почти буднично: пароль принят, страница открылась, ошибки нет. Именно успешный вход маскирует кражу.
Защита должна опираться на устойчивую к фишингу аутентификацию, прежде всего passkeys — ключи доступа, которые привязаны к настоящему сайту и не передают злоумышленнику пригодный для повторного использования секрет. Организациям стоит отказаться от методов, которые AitM-прокси способен перехватить вместе с паролем. Потенциальным целям следует отдельно проверять личность отправителя, используя ранее известный адрес или другой независимый канал, и настороженно относиться к неожиданным приглашениям по вопросам ИИ, обороны, национальной безопасности и внешней политики. Успешная авторизация Microsoft сама по себе не доказывает, что страница была безопасной.
Proofpoint формулирует профиль группы так: «TA419 последовательно проявляла интерес к целям, связанным с обороной, национальной безопасностью, энергетикой, международными отношениями и внешней политикой, преимущественно имеющим отношение к США и Японии». Атаки на специалистов по искусственному интеллекту укладываются в прежний круг разведывательных задач: «Выбор экспертов по ИИ-политике расширяет эту сферу интересов, а не означает отход от неё». Для TA419 политика в области ИИ стала соседней частью того же массива сведений, где пересекаются технологии, государственное регулирование и военное планирование.
