Wprowadzenie do problemu / definicja
Grupa śledzona jako UAT-11985 prowadzi ukierunkowane kampanie spear-phishingowe, w których wykorzystuje fałszywe zaproszenia na wydarzenia publiczne do przechwytywania danych logowania do kont Google. Atak bazuje na modelu adversary-in-the-middle, czyli pośredniczącej infrastrukturze phishingowej, która przechwytuje nie tylko login i hasło, ale również elementy procesu uwierzytelniania wieloskładnikowego.
Tego typu operacje pokazują, że nowoczesny phishing nie polega już wyłącznie na prostym wyłudzaniu haseł. Coraz częściej łączy wiarygodną socjotechnikę, dokładne profilowanie ofiar oraz techniki umożliwiające przejęcie aktywnej sesji logowania.
W skrócie
Kampania została opisana jako operacja wymierzona w osoby powiązane z organizacjami badawczymi i analitycznymi, zwłaszcza w środowiskach związanych z Tajwanem oraz tematyką geopolityczną. Napastnicy podszywają się pod wiarygodne instytucje i rozsyłają zaproszenia na wydarzenia, które mają skłonić odbiorców do rejestracji.
- Wiadomości odwołują się do wydarzeń o tematyce publicznej, akademickiej lub geopolitycznej.
- Linki prowadzą do stron imitujących formularze Google oraz ekran logowania Google.
- Fałszywy panel działa jako proxy AitM, pośrednicząc między ofiarą a prawdziwą usługą.
- W części przypadków wykorzystano także quishing, czyli złośliwe kody QR umieszczane na przerobionych materiałach wydarzeniowych.
Kontekst / historia
Zaobserwowana aktywność wskazuje na dobrze przygotowaną i spójną kampanię, której celem mogą być działania wywiadowcze. Ofiarami są osoby mające dostęp do informacji badawczych, analiz, kontaktów zawodowych i korespondencji o wysokiej wartości operacyjnej.
Wiadomości phishingowe mają powtarzalny schemat. Zawierają rozbudowany opis wydarzenia, próbę uwiarygodnienia nadawcy, spersonalizowany fragment skierowany do odbiorcy oraz szczegóły organizacyjne, takie jak termin, miejsce lub sposób rejestracji. Taka konstrukcja zwiększa szansę, że ofiara uzna wiadomość za autentyczną i podejmie interakcję.
Istotnym elementem tej kampanii jest także wykorzystywanie realnych lub prawdopodobnych wydarzeń publicznych. Dzięki temu atakujący nie muszą tworzyć całkowicie fikcyjnej narracji, lecz mogą osadzić oszustwo w kontekście, który wygląda wiarygodnie dla konkretnej grupy docelowej.
Analiza techniczna
Mechanizm ataku składa się z kilku warstw. Najpierw ofiara otrzymuje wiadomość e-mail lub trafia na materiał zawierający kod QR. Następnie zostaje skierowana do strony udającej legalny formularz rejestracyjny, gdzie pojawia się komunikat o konieczności zalogowania się na konto Google w celu dokończenia procesu.
Po przejściu dalej użytkownik trafia na fałszywy ekran logowania, który przypomina oryginalny panel Google. W rzeczywistości jest to serwer pośredniczący AitM, przekazujący dane między użytkownikiem a prawdziwą usługą uwierzytelniania. Dzięki temu napastnik może w czasie rzeczywistym przechwycić:
- nazwę użytkownika,
- hasło,
- kody lub wyzwania MFA,
- potencjalnie dane sesyjne przydatne do przejęcia konta.
To odróżnia ten model od klasycznych stron phishingowych, które często kończą działanie po zebraniu samego hasła. W scenariuszu AitM napastnik uczestniczy w całym procesie logowania i może natychmiast wykorzystać przechwycone informacje.
Dodatkowo infrastruktura phishingowa zbiera informacje o urządzeniu i przeglądarce ofiary. Obejmują one między innymi ustawienia językowe, identyfikator przeglądarki, rozdzielczość ekranu oraz informację o tym, czy użytkownik korzysta z urządzenia mobilnego. Tego rodzaju telemetria może służyć do profilowania ofiar, odsiewania niepożądanego ruchu lub dynamicznego dostosowania przebiegu ataku.
Badacze zwrócili też uwagę na ograniczony zestaw wspieranych wersji językowych fałszywych paneli logowania. Wskazuje to, że kampania została przygotowana z myślą o konkretnych grupach odbiorców, a nie o masowym rozsyłaniu przypadkowych wiadomości.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem udanego ataku jest przejęcie konta Google mimo stosowania uwierzytelniania wieloskładnikowego. W modelu AitM tradycyjne MFA oparte na kodach jednorazowych może nie zapewnić wystarczającej ochrony, ponieważ napastnik przechwytuje proces logowania na bieżąco.
Dla organizacji badawczych, analitycznych i akademickich oznacza to ryzyko uzyskania przez atakujących dostępu do poczty, dokumentów, kalendarzy, kontaktów oraz materiałów roboczych. Przejęte konto może zostać wykorzystane do dalszego phishingu, zbierania informacji o relacjach zawodowych i rozszerzania kompromitacji na kolejne osoby.
Ryzyko zwiększa wysoki poziom personalizacji. Wiadomości nie wyglądają jak typowy spam, lecz jak starannie przygotowana korespondencja związana z zawodową aktywnością odbiorcy. To utrudnia zarówno wykrywanie przez użytkowników, jak i filtrowanie przez klasyczne mechanizmy bezpieczeństwa poczty.
Rekomendacje
Organizacje powinny traktować phishing AitM jako zagrożenie wykraczające poza tradycyjne scenariusze kradzieży haseł. Kluczowe znaczenie ma wdrażanie metod uwierzytelniania odpornych na phishing, takich jak klucze bezpieczeństwa zgodne z FIDO2 lub passkeys.
- Wzmacniaj ochronę poczty pod kątem podszywania się pod zaufane instytucje oraz anomalii w treści wiadomości.
- Traktuj quishing jako pełnoprawny wektor ataku i obejmij kody QR procedurami kontroli bezpieczeństwa.
- Szkol użytkowników, aby nie logowali się do kont po kliknięciu linków rejestracyjnych lub po zeskanowaniu kodów QR bez wcześniejszej weryfikacji domeny i kontekstu.
- Monitoruj logi uwierzytelnień pod kątem nietypowych sesji, nowych urządzeń, zmian geolokalizacji i podejrzanych sekwencji logowania.
- Wdrażaj zasadę najmniejszych uprawnień oraz segmentację dostępu do informacji o wysokiej wartości.
- Przygotuj procedury szybkiego unieważniania sesji, resetu poświadczeń i ponownej rejestracji metod MFA po wykryciu incydentu.
W praktyce skuteczna obrona wymaga połączenia bezpiecznych metod logowania, detekcji behawioralnej oraz sprawnych procesów reagowania. Samo MFA oparte na kodach SMS lub aplikacjach generujących kody nie powinno być uznawane za wystarczającą ochronę przed zaawansowanym phishingiem pośredniczącym.
Podsumowanie
Kampania UAT-11985 potwierdza, że współczesne operacje phishingowe stają się coraz bardziej precyzyjne i technicznie zaawansowane. Połączenie wiarygodnych zaproszeń na wydarzenia, podszywania się pod zaufane podmioty, kodów QR oraz infrastruktury AitM pozwala skutecznie omijać wiele standardowych mechanizmów ostrożności.
Dla organizacji jest to wyraźny sygnał, że ochrona tożsamości musi wyjść poza model oparty na haśle i tradycyjnym MFA. Priorytetem powinny stać się rozwiązania odporne na phishing oraz większa widoczność całego procesu uwierzytelniania i aktywności sesyjnej użytkowników.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/uat-11985-uses-fake-event-invites-to.html
- Cisco Talos Blog — https://blog.talosintelligence.com/