חוקרי Cisco Talos מתעדים קמפיין של קבוצה שמכונה UAT-11985, שמכוון לאנשים הקשורים למכוני מחקר בטייוואן. התוקפים שולחים הזמנות לאירועים אקדמיים, ומובילים את הקורבן לדף התחברות מזויף של גוגל שמעביר את הקלט לגוגל האמיתית ולכן גם קודי אימות דו-שלבי נתפסים.
הפרטים
לפי Talos, הקמפיין נצפה מאמצע 2026. המיילים מתחזים למוסדות אקדמיים ומדיניות בטייוואן, ובנויים משלושה חלקים: הקדמה גיאופוליטית, פנייה מחמיאה לנמען וסיום עם פרטי רישום. החוקרים מעריכים שהמיילים נוצרו בסיוע בינה מלאכותית, על בסיס תבנית קבועה. הקישור בנוי כך שבריחוף הוא נראה כמו כתובת של Google Forms, ובחלק מהמקרים נעשה שימוש בפוסטרים אמיתיים של אירועים עם קוד QR שהוחלף.
הקורבן מגיע לדף שמחקה טופס, ושם מתבקש להתחבר עם גוגל. פאנל ההתחברות הוא שרת proxy בשיטת אדם-באמצע (AitM): הסיסמה והאתגרים מועברים בזמן אמת לגוגל, והתוקף מקבל את הנתונים והגישה לחשבון. הפאנל תומך בסינית פשוטה, סינית מסורתית ואנגלית.
נקודות לשים לב
- אימות דו-שלבי מבוסס קוד או אישור בנייד אינו עוצר תקיפת AitM. מפתחות חומרה ו-passkeys (FIDO2) קשורים לדומיין האמיתי ולכן עמידים לשיטה הזאת.
- אל תסתמכו על הצגת הכתובת בריחוף בלבד; פתחו טפסי הרשמה לאירועים רק מערוץ שאימתתם מול המארגן.
- קוד QR על פוסטר מודפס אינו אמין יותר מקישור במייל. בדקו את הכתובת שנפתחת לפני הזנת פרטים.
- חשד שהוזנו פרטים בדף כזה: אפסו סיסמה, בטלו סשנים פעילים ובדקו פעילות חשודה בחשבון.
- אינדיקטורים טכניים (דומיינים, כתובות) מופיעים בדוח המקורי של Talos; הכתבה שסיקרה אותו לא מפרטת אותם.
מקורות: The Hacker News · Cisco Talos
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
