Исследователи Cisco Talos обнаружили целевую фишинговую кампанию UAT-11985 против лиц, связанных с тайваньскими исследовательскими организациями. Операторы выманивают данные аккаунтов Google и коды MFA через AitM-инфраструктуру, маскируя её под регистрацию на публичные мероприятия.
Кампания впервые была замечена в середине 2026 года. По оценке Cisco Talos, её операторы, вероятно, используют генеративный ИИ, чтобы быстро создавать персонализированные приманки в рамках единой схемы социальной инженерии. Данных о нацеливании этой активности на российские организации в исследовании нет.
Приглашения от имени тайваньских организаций
Операторы использовали реальные либо правдоподобные сведения о публичных мероприятиях и выдавали себя за авторитетные академические и политические учреждения. Среди организаций, чью идентичность подделывали, Cisco Talos называет Тайваньский центр Европейского союза, Институт международных отношений Национального центрального университета Тайваня и Тайваньский исследовательский институт.
В письмах подменялись данные отправителя. Ссылка для регистрации вела на инфраструктуру атакующих, однако при наведении курсора отображался легитимно выглядящий адрес Google Forms.
Темы сообщений различались и были связаны с геополитикой и политикой, но построение писем почти не менялось. Cisco Talos связывает это с повторным применением шаблона и массовой генерацией контента, а не с полностью ручной подготовкой каждого письма. Приманка состояла из трёх частей: развёрнутого вступления о геополитическом или политическом контексте, персонализированного описания адресата в положительном ключе и блока с темой, датой, местом проведения и порядком регистрации на мероприятие.
Исследователи также выявили вариант с QR-фишингом. В нём использовались настоящие афиши мероприятий, скопированные с официальных сайтов, но QR-коды на них заменялись вредоносными. Этот приём расширяет круг потенциальных жертв: код может отсканировать не только получатель письма, но и человек, увидевший распечатанный материал.
Как перехватывают Google-аккаунт
Страница регистрации имитирует форму Google и выводит всплывающее окно с предложением войти в аккаунт для заполнения формы. Затем жертва попадает на фальшивую панель входа Google, предназначенную для перехвата учётных данных и кодов аутентификации.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
По данным Cisco Talos, сайт воспроизводит оригинальный интерфейс до пикселя и работает как AitM-прокси. Обфусцированный JavaScript собирает введённые данные и передаёт их в реальном времени по WebSocket, одновременно ретранслируя информацию на настоящие серверы аутентификации Google.
До открытия WebSocket вредоносный JavaScript собирает сведения об устройстве и браузере: языковую локаль, строку User-Agent, размер экрана и признак мобильного устройства. Эти данные отправляются на C2 в запросе google_login_start.
После ввода пароля страница передаёт пароль, идентификатор аккаунта и User-Agent браузера на HTTP-сервер C2 через запрос google_login_check. Сервер атакующих, размещённый в цепочке AitM, затем отправляет полученные учётные данные в легитимный сервис аутентификации Google.
Поддельные панели входа поддерживают только упрощённый китайский (zh-CN), традиционный китайский (zh-TW) и английский языки. Регион определяется по параметру navigator[.]languages в браузере. Cisco Talos считает это явным признаком ориентации кампании на китайскоязычных пользователей.
Разделение разовых передач данных через POST-запросы и низколатентных обновлений состояния через WebSocket позволяет операторам ретранслировать процесс аутентификации без заметных для жертвы разрывов. По оценке исследователей, такой механизм копирует динамическое состояние входа в Google в реальном времени и может привести к полному захвату аккаунта.
Что проверить
- Сценарий входа и адрес страницы. Повторный вход в Google сам по себе не является достаточным признаком фишинга: он может быть штатным сценарием для ограниченных Google Forms, ресурсов Workspace, смены сессии или политики организации. Проверять следует несоответствие ожидаемому процессу регистрации: повторный запрос входа нужно сопоставлять с доменом и цепочкой переходов, ожидаемым владельцем формы, контекстом приглашения и возможной подменой отправителя.
- QR-код и его целевой адрес. Подлинность афиши или другого материала не подтверждает безопасность встроенной ссылки: код может вести на инфраструктуру атакующих, даже если изображение скопировано с официального сайта.
- Контекст при расследовании. Сетевые признаки следует коррелировать с другими сигналами, а не использовать самостоятельно. Страницы, имитирующие Google Forms и Google Login, WebSocket-соединения и повторный запрос входа стоит оценивать вместе с неожиданным доменом или цепочкой редиректов, подменой отправителя, подозрительным приглашением либо обращением к установленной вредоносной инфраструктуре. Параметры
google_login_startиgoogle_login_checkотносятся к HTTP-запросам, описанным Cisco Talos для этого образца, и не являются универсальными индикаторами любой AitM-активности.
Практический вывод из кампании UAT-11985: персонализацию текста и использование настоящих материалов мероприятий нельзя считать признаком легитимности.