Grupo APT utiliza falsas invitaciones de eventos de Google para robar credenciales
UAT-11985 despliega una campaña de phishing del tipo adversario-en-el-medio dirigida a afiliados de investigación taiwaneses. La campaña recolecta credenciales de cuentas de Google y códigos MFA mediante engañosas invitaciones a eventos.
Resumen
- UAT-11985 lanzó una campaña de spear-phishing contra investigadores vinculados a Taiwán.
- Los atacantes utilizaron falsas invitaciones de eventos de Google Calendar para redirigir a las víctimas.
- El objetivo era robar credenciales de inicio de sesión y tokens MFA de cuentas de Google.
- Se utilizó un marco de adversario-en-el-medio (AitM) para la recolección de credenciales.
- Las organizaciones deben revisar sus protocolos de seguridad de correo electrónico y formación en concienciación de usuarios.
Los investigadores de ciberseguridad han descubierto una sofisticada operación de spear-phishing, identificada como UAT-11985, que se dirigió específicamente a personas vinculadas a organizaciones de investigación en Taiwán. Los atacantes utilizaron engañosas invitaciones de eventos de Google Calendar para inducir a las víctimas a visitar dominios maliciosos.
Estos dominios alojaban un marco de phishing del tipo adversario-en-el-medio (AitM) diseñado para capturar información sensible de inicio de sesión, incluidas tanto las credenciales de cuentas de Google como los códigos de autenticación multifactor (MFA). Este método permite a los atacantes eludir medidas de seguridad tradicionales y obtener acceso no autorizado a cuentas de alto valor.
Vector de Ataque y Técnica
- El grupo envió falsas invitaciones de eventos de Google Calendar a objetivos seleccionados.
- Los enlaces en las invitaciones redirigían a usuarios a sitios AitM controlados por los atacantes.
- Estos sitios imitaban páginas legítimas de inicio de sesión de Google para recopilar credenciales.
- También se capturaron en tiempo real los códigos de autenticación multifactor.
- El uso de la técnica AitM permite secuestrar sesiones tras el inicio de sesión.
Perfil de Objetivo e Impacto
- Las víctimas estaban principalmente vinculadas a instituciones de investigación en Taiwán.
- La campaña tenía como objetivo comprometer cuentas de Google Workspace.
- El acceso a estas cuentas podría conducir al robo de datos o a una infiltración adicional.
- Los investigadores advierten sobre posibles ataques posteriores utilizando identidades robadas.
- Se recomienda a las organizaciones mejorar el filtrado de correos electrónicos y la formación de usuarios.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.