Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de spear phishing atribuída a uma ameaça persistente avançada (APT). A operação teve como alvo pessoas ligadas a organizações de pesquisa de Taiwan e direcionou as vítimas a uma infraestrutura de phishing do tipo adversary-in-the-middle (AitM), criada para capturar credenciais de contas Google e códigos de autenticação multifator (MFA).
A Cisco Talos acompanha a atividade sob o nome UAT-11985. Segundo a empresa, a campanha provavelmente usou geração de conteúdo assistida por inteligência artificial (IA) para produzir rapidamente iscas personalizadas para diferentes alvos, seguindo um mesmo modelo de engenharia social. A operação foi identificada pela primeira vez em meados de 2026.
“A operação explorou temas de eventos públicos legítimos e se passou por instituições acadêmicas e de políticas públicas respeitadas para ganhar credibilidade”, afirmou o pesquisador da Talos Joey Chen em uma análise.
“Além do phishing tradicional por e-mail, o agente incorporou técnicas de phishing por código QR, conhecidas como quishing. Para isso, alterou cartazes legítimos de eventos e inseriu códigos QR maliciosos, ampliando o alcance do ataque para além dos destinatários dos e-mails e atingindo também pessoas que poderiam encontrar os materiais impressos.”
A operação se baseia no uso de informações legítimas ou plausíveis sobre eventos públicos em e-mails de spear phishing. As mensagens incluem um endereço que leva à infraestrutura controlada pelos atacantes, embora, ao posicionar o cursor sobre o link, a pessoa veja um endereço aparentemente legítimo do Google Forms.
Apesar de abordarem temas geopolíticos variados, os e-mails de convite apresentam estruturas de frase quase idênticas. Isso indica que o conteúdo foi produzido em massa a partir de um modelo reutilizável, em vez de ser elaborado cuidadosamente para cada alvo.
As mensagens seguem uma estrutura de três partes. A abertura traz uma descrição “bem redigida, mas excessivamente elaborada” do contexto geopolítico ou de políticas públicas. Em seguida, o texto é adaptado ao destinatário e inclui elogios a ele, numa tentativa de estimular sua participação. A parte final apresenta informações práticas sobre o evento, como tema, data, local e instruções para inscrição.
O agente da ameaça se passou por instituições legítimas de Taiwan, como o Taiwan European Union Centre, o NCCU Institute of International Relations e o Taiwan Research Institute. Para tornar as mensagens mais convincentes, também falsificou as identidades dos remetentes.
“Em conjunto, a repetição de uma estrutura narrativa quase idêntica, o estilo retórico, os elogios personalizados, a imitação de instituições e o mecanismo enganoso de inscrição apontam fortemente para uma campanha coordenada e cuidadosamente direcionada de spear phishing, e não para três convites independentes”, afirmou a Talos.
Em alguns casos, os e-mails de phishing incluem cartazes de eventos legítimos, obtidos em sites autênticos, mas com os códigos QR alterados. O objetivo é induzir as vítimas a escanear o código malicioso para se “inscrever” no evento.
O site de phishing imita a aparência de um formulário legítimo do Google. Seu principal objetivo, porém, é exibir uma janela que pede à vítima que entre na conta Google para concluir o preenchimento. Isso leva a uma página falsa com uma tela de login que imita a do Google e captura credenciais e códigos de verificação.
Visualmente idêntica à página original, a cópia funciona como um proxy AitM. Ela usa JavaScript ofuscado para coletar e exfiltrar, em tempo real, as informações digitadas pela vítima por meio de uma conexão bidirecional, enquanto as encaminha simultaneamente aos servidores legítimos de autenticação do Google.
Antes de estabelecer essa conexão, o código JavaScript malicioso coleta informações sobre o dispositivo e o navegador, como configuração regional, agente do usuário, dimensões da tela e indicação de uso de dispositivo móvel. Em seguida, esses dados são enviados ao servidor de comando e controle (C2) por meio de uma solicitação chamada “google_login_start”.
Quando a vítima envia a senha, a página de phishing transmite a credencial, o identificador da conta e as informações do agente do usuário ao servidor C2 do agente da ameaça, por HTTP, em uma solicitação chamada “google_login_check”. Posicionado como intermediário, o servidor encaminha as credenciais ao serviço legítimo de autenticação do Google.
“Os painéis falsos de acesso ao Google oferecem suporte apenas aos idiomas chinês simplificado (zh-CN), chinês tradicional (zh-TW) e inglês. A detecção da região se baseia no campo ‘navigator.languages’ do navegador da vítima, o que sugere fortemente que os alvos são pessoas que falam chinês”, explicou Chen.
“Ao separar os envios pontuais de dados, feitos por solicitações POST, das atualizações de estado de baixa latência, feitas por uma conexão bidirecional, o agente da ameaça criou um mecanismo contínuo de captura e encaminhamento de credenciais. Isso permite reproduzir em tempo real as mudanças no processo de autenticação do Google e, por fim, assumir o controle total da conta sem despertar suspeitas da vítima.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...