گروه جاسوسی سایبری TA419 که با چین در ارتباط است، در کمپین‌های متعددی از فیشینگ اعتبار (Credential Phishing) برای هدف قرار دادن متخصصان هوش مصنوعی (AI) در اندیشکده‌ها، دانشگاه‌ها و سازمان‌های حقوقی ایالات متحده دست زده است.
رویکرد حمله و مهندسی اجتماعی
این عامل تهدید (Threat Actor) با جعل هویت اقتصاددانان برجسته، سیاست‌گذاران AI و حتی کارکنان شرکت Anthropic، تلاش کرده است تا اعتماد قربانیان را جلب کند. در یکی از موارد، ایمیلی با موضوع «درخواست بازخورد در مورد ادغام نظامی Claude» برای یک متخصص در یک اندیشکده ارسال شده است.
بر اساس تحلیل‌های منتشر شده، این فعالیت‌ها در راستای اهداف اطلاعاتی چین برای درک بهتر چشم‌انداز رگولاتوری و سیاست‌های AI در ایالات متحده صورت می‌گیرد؛ به‌ویژه در شرایطی که رقابت استراتژیک، اتهامات مربوط به تقطیر مدل‌ها (Model Distillation) و کنترل‌های صادراتی بین این دو کشور شدت یافته است.
تحلیل فنی: تکنیک Frameless BitB و AitM
حملات TA419 با ارسال دعوت‌نامه‌های بی‌خطر برای ایجاد اعتماد آغاز می‌شود. پس از پاسخ کاربر، یک URL کوتاه شده ارسال می‌گردد که پس از عبور از بررسی Cloudflare Turnstile، کاربر را به یک صفحه فیشینگ مبتنی بر Adversary-in-the-Middle (AitM) در OneDrive هدایت می‌کند.
در این صفحات از تکنیکی به نام Frameless BitB استفاده شده است. این روش نسخه‌ای تکامل‌یافته از Browser-in-the-Browser (BitB) است که برخلاف روش‌های سنتی از iframe استفاده نمی‌کند، بلکه با تزریق اسکریپت‌ها و استفاده از HTML/CSS/JS، یک پنجره مرورگر جعلی و بسیار متقاعدکننده را در محیط مرورگر واقعی شبیه‌سازی می‌کند.
- تله‌متری سفارشی: این گروه ابزارهای متن‌باز را با ماژول‌های اتوماسیون اختصاصی گسترش داده‌اند تا جریان ورود به حساب‌های Microsoft را رصد کرده و اعتبارها را از طریق پروکسی AitM سرقت کنند.
- پنهان‌سازی: به دلیل اینکه درخواست‌ها در پس‌زمینه به زیرساخت واقعی مایکروسافت ارسال می‌شوند، عملیات ورود با موفقیت انجام شده و کاربر هیچ نشانه‌ای از سرقت Session Cookies دریافت نمی‌کند.
توصیه‌های امنیتی
برای مقابله با این تهدیدات، توصیه می‌شود سازمان‌ها از روش‌های احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant) مانند Passkeys استفاده کنند. همچنین متخصصانی که در حوزه‌های حساس دفاعی، امنیت ملی و سیاست خارجی فعالیت می‌کنند، باید در مواجهه با ارتباطات ناخواسته با دقت بیشتری عمل کرده و هویت فرستنده را تایید کنند.
