Cisco Talos обнаружила кампанию UAT-11985, нацеленную на людей, связанных с исследовательскими организациями Тайваня. Первые случаи зафиксированы в середине 2026 года. Приманкой служат приглашения на публичные мероприятия, а в некоторых случаях — афиши с подменёнными QR-кодами. Поддельная форма регистрации ведёт к краже паролей и кодов многофакторной аутентификации (MFA).
Злоумышленники выдавали себя за представителей Taiwan European Union Centre, NCCU Institute of International Relations и Taiwan Research Institute. По оценке Talos, одинаковая композиция писем, сходный стиль, персональная лесть и имитация организаций указывают на скоординированную кампанию, а не на три случайных приглашения. Исследователь Talos Джоуи Чен допускает, что материалы могли создавать с помощью ИИ: общий сценарий позволяет быстро готовить персонализированные письма.
В приглашениях используют правдоподобные сведения о реальных публичных мероприятиях. Письма посвящены разным геополитическим темам, но построены почти одинаково: сначала общая история вокруг события, затем обращение к адресату с лестной персональной характеристикой, после чего идут тема, дата, место и инструкция по регистрации. Ссылка ведёт на инфраструктуру злоумышленников, хотя при наведении курсора отображается адрес, похожий на ссылку Google Forms.
Некоторые письма сопровождаются афишами, взятыми с легитимных сайтов. В них заменяют QR-коды: после сканирования человек попадает на вредоносную страницу регистрации. Такая атака, известная как quishing, может затронуть не только получателей писем, но и тех, кто увидит распечатанную или пересланную афишу.
Дальше сценарий выглядит привычно. Поддельная форма Google предлагает войти в аккаунт, чтобы завершить регистрацию, а затем открывает убедительную копию страницы входа Google. Сайт собирает пароль и данные проверки личности, включая одноразовый код MFA. При этом он работает как прокси между жертвой и настоящей системой аутентификации Google: передаёт введённые данные сервису и одновременно пересылает ответы злоумышленникам.
Фальшивая страница входа описана Talos как точная копия интерфейса Google. Обфусцированный JavaScript собирает сведения об устройстве и браузере: язык, user agent, размеры экрана и признак мобильного устройства. До открытия WebSocket эти данные отправляются на сервер управления и контроля (C2) в запросе google_login_start. После ввода пароля запрос google_login_check передаёт на HTTP-сервер злоумышленников пароль, идентификатор аккаунта и user agent. Оттуда учётные данные пересылаются настоящему серверу Google.
Для обмена используются два механизма. POST-запросы подходят для разовой отправки данных, а WebSocket поддерживает обновления с малой задержкой. По словам Джоуи Чена, это позволяет синхронно повторять меняющееся состояние процесса входа Google и поддерживать непрерывную передачу данных между жертвой и сервисом. Задача — захватить аккаунт целиком, не вызвав подозрений.
Поддельные страницы поддерживают упрощённый китайский язык (zh-CN), традиционный китайский (zh-TW) и английский. Выбор языка и региона зависит от значения браузерного параметра navigator.languages. Чен считает, что этот набор настроек указывает на прицел кампании на китайскоязычных пользователей. Для защиты стоит проверять адрес ссылки до перехода, не сканировать QR-коды с непроверенных афиш и не вводить пароль и код MFA на странице, открытой из приглашения.
Изображение носит иллюстративный характер
Злоумышленники выдавали себя за представителей Taiwan European Union Centre, NCCU Institute of International Relations и Taiwan Research Institute. По оценке Talos, одинаковая композиция писем, сходный стиль, персональная лесть и имитация организаций указывают на скоординированную кампанию, а не на три случайных приглашения. Исследователь Talos Джоуи Чен допускает, что материалы могли создавать с помощью ИИ: общий сценарий позволяет быстро готовить персонализированные письма.
В приглашениях используют правдоподобные сведения о реальных публичных мероприятиях. Письма посвящены разным геополитическим темам, но построены почти одинаково: сначала общая история вокруг события, затем обращение к адресату с лестной персональной характеристикой, после чего идут тема, дата, место и инструкция по регистрации. Ссылка ведёт на инфраструктуру злоумышленников, хотя при наведении курсора отображается адрес, похожий на ссылку Google Forms.
Некоторые письма сопровождаются афишами, взятыми с легитимных сайтов. В них заменяют QR-коды: после сканирования человек попадает на вредоносную страницу регистрации. Такая атака, известная как quishing, может затронуть не только получателей писем, но и тех, кто увидит распечатанную или пересланную афишу.
Дальше сценарий выглядит привычно. Поддельная форма Google предлагает войти в аккаунт, чтобы завершить регистрацию, а затем открывает убедительную копию страницы входа Google. Сайт собирает пароль и данные проверки личности, включая одноразовый код MFA. При этом он работает как прокси между жертвой и настоящей системой аутентификации Google: передаёт введённые данные сервису и одновременно пересылает ответы злоумышленникам.
Фальшивая страница входа описана Talos как точная копия интерфейса Google. Обфусцированный JavaScript собирает сведения об устройстве и браузере: язык, user agent, размеры экрана и признак мобильного устройства. До открытия WebSocket эти данные отправляются на сервер управления и контроля (C2) в запросе google_login_start. После ввода пароля запрос google_login_check передаёт на HTTP-сервер злоумышленников пароль, идентификатор аккаунта и user agent. Оттуда учётные данные пересылаются настоящему серверу Google.
Для обмена используются два механизма. POST-запросы подходят для разовой отправки данных, а WebSocket поддерживает обновления с малой задержкой. По словам Джоуи Чена, это позволяет синхронно повторять меняющееся состояние процесса входа Google и поддерживать непрерывную передачу данных между жертвой и сервисом. Задача — захватить аккаунт целиком, не вызвав подозрений.
Поддельные страницы поддерживают упрощённый китайский язык (zh-CN), традиционный китайский (zh-TW) и английский. Выбор языка и региона зависит от значения браузерного параметра navigator.languages. Чен считает, что этот набор настроек указывает на прицел кампании на китайскоязычных пользователей. Для защиты стоит проверять адрес ссылки до перехода, не сканировать QR-коды с непроверенных афиш и не вводить пароль и код MFA на странице, открытой из приглашения.
