یک کمپین پیشرفته Spear-Phishing توسط یک عامل تهدید (Threat Actor) شناسایی شده است که سازمان‌های پژوهشی را هدف قرار داده است. این عملیات با استفاده از تم‌های رویدادهای عمومی و جعل هویت مؤسسات معتبر آکادمیک و سیاست‌گذاری، سعی در ایجاد اعتماد در قربانیان داشته است.
بهره‌گیری از هوش مصنوعی در طراحی طعمه‌ها
تحلیل ایمیل‌های فیشینگ نشان می‌دهد که ساختار، لحن و الگوهای شخصی‌سازی در آن‌ها بسیار یکنواخت است. این موضوع احتمالاً به دلیل استفاده از AI-assisted content generation برای سفارشی‌سازی سریع دعوت‌نامه‌ها برای اهداف مختلف است، در حالی که چارچوب کلی مهندسی اجتماعی (Social Engineering) ثابت باقی مانده است. مهاجمان با استفاده از عبارات پیچیده و تخصصی در حوزه‌های ژئوپلیتیک، سعی کرده‌اند وجهه‌ای علمی و معتبر به پیام‌های خود ببخشند.
تکنیک Quishing و گسترش سطح حمله
علاوه بر فیشینگ ایمیلی، این عامل تهدید از تکنیک Quishing (فیشینگ از طریق کد QR) استفاده کرده است. آن‌ها پوسترهای رویدادهای قانونی را تغییر داده و کدهای QR مخرب را جایگزین کرده‌اند. این استراتژی باعث می‌شود سطح حمله از گیرندگان ایمیل فراتر رفته و افرادی که مطالب چاپی را در محیط‌های اداری مشاهده و اسکن می‌کنند نیز به دام بیفتند.
چارچوب پیشرفته AitM برای دور زدن MFA
این کمپین از یک فریم‌ورک پیشرفته Adversary-in-the-Middle (AitM) استفاده می‌کند که صفحات احراز هویت گوگل را جعل می‌کند. این سیستم از یک معماری ترکیبی HTTP و WebSocket برای همگام‌سازی جریان‌های احراز هویت در لحظه (Real-time) بهره می‌برد. این قابلیت به مهاجم اجازه می‌دهد تا اعتبارنامه‌ها (Credentials) و چالش‌های MFA را رهگیری کرده و توکن‌های نشست (Session Tokens) معتبر را سرقت کند.
تحلیل فنی و ابزارهای مورد استفاده
- جعل رابط کاربری: صفحات فیشینگ از نظر بصری کاملاً مشابه سرویس‌های گوگل هستند و کاربران را به صفحاتی هدایت می‌کنند که بر اساس زبان مرورگر قربانی، محتوا را نمایش می‌دهند.
- پنهان‌سازی کد: کدهای JavaScript مخرب در انتهای سند HTML قرار گرفته و با استفاده از تکنیک‌های پیچیده String Rotation Obfuscation و آرایه‌های Base64 کدگذاری شده، از شناسایی توسط ابزارهای تحلیل استاتیک جلوگیری می‌کنند.
- مدیریت دستورات (C2): مهاجم از HTTP POST برای استخراج داده‌ها (مانند اثر انگشت مرورگر و پسوردها) و از WebSocket برای دریافت دستورات لحظه‌ای از سرور C2 استفاده می‌کند تا دقیقاً مشخص شود کدام صفحه چالش MFA باید برای قربانی نمایش داده شود.
این رویکرد دوکاناله (Split Communication Channel) باعث می‌شود فرآیند سرقت حساب کاربری بدون ایجاد شک در کاربر و با دقت بسیار بالا انجام شود و در نهایت منجر به Account Takeover کامل گردد.
