Grupo APT Usa Convites Falsos de Eventos do Google para Roubar Credenciais
UAT-11985 implanta phishing adversário-no-meio direcionado a afiliados de pesquisa taiwaneses. A campanha coleta credenciais da conta do Google e códigos MFA por meio de convites enganosos para eventos.
TL;DR
- UAT-11985 lançou uma campanha de spear-phishing contra pesquisadores ligados a Taiwan.
- Atacantes usaram convites falsos de eventos do Google Agenda para redirecionar vítimas.
- O objetivo era roubar credenciais de login e tokens MFA de contas do Google.
- Foi utilizada uma estrutura de phishing adversário-no-meio (AitM) para colher credenciais.
- Organizações devem revisar a segurança de e-mails e protocolos de treinamento de conscientização dos usuários.
Pesquisadores de cibersegurança descobriram uma operação sofisticada de spear-phishing, rastreada como UAT-11985, que teve como alvo específico indivíduos associados a organizações de pesquisa em Taiwan. Os atacantes utilizaram convites enganosos de eventos do Google Agenda para enganar as vítimas e levá-las a visitar domínios maliciosos.
Esses domínios hospedavam uma estrutura de phishing adversário-no-meio (AitM) projetada para capturar informações sensíveis de login, incluindo credenciais de contas do Google e códigos de autenticação multifator (MFA). Esse método permite que os atacantes contornem medidas de segurança tradicionais e obtenham acesso não autorizado a contas valiosas.
Vetor de Ataque e Técnica
- O grupo enviou convites falsos de eventos do Google Agenda para alvos selecionados.
- Links nos convites redirecionavam os usuários para sites controlados pelos atacantes com técnica AitM.
- Esses sites imitavam páginas legítimas de login do Google para coletar credenciais.
- Códigos de autenticação multifator também eram capturados em tempo real.
- O uso da técnica AitM permite o sequestro de sessão após o login.
Perfil dos Alvos e Impacto
- As vítimas estavam principalmente ligadas a instituições de pesquisa em Taiwan.
- A campanha tinha como objetivo comprometer contas do Google Workspace.
- O acesso a essas contas pode levar ao roubo de dados ou infiltração adicional.
- Pesquisadores alertam sobre possíveis ataques subsequentes usando identidades roubadas.
- É recomendável que as organizações reforcem a filtragem de e-mails e a educação dos usuários.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.