یک کیت فیشینگ جدید برای حساب‌های گوگل با بهره‌گیری از اتصالات زنده WebSocket، قربانیان را از طریق صفحات جعلی ورود هدایت کرده و درخواست‌های احراز هویت را به‌صورت لحظه‌ای رله می‌کند تا بتواند نشست‌های احراز شده (Authenticated Sessions) را سرقت نماید.
مکانیزم دور زدن MFA
این کمپین نشان می‌دهد که چگونه عاملان تهدید (Threat Actors) می‌توانند بدون شکستن مستقیم مکانیزم‌های امنیتی، تنها با فوروارد کردن مراحل ورود در لحظه، از MFA عبور کنند. این روش که به عنوان Adversary-in-the-Middle (AitM) شناخته می‌شود، لایه‌ای بین کاربر و سرویس واقعی احراز هویت ایجاد می‌کند.
جزئیات عملیات و مهندسی اجتماعی
این عملیات سازمان‌های پژوهشی در تایوان را هدف قرار داده است. ایمیل‌های ارسالی در قالب دعوت‌نامه‌های رسمی برای رویدادهای آکادمیک و سیاست‌گذاری طراحی شده‌اند. برای افزایش اعتماد، مهاجمان از جزئیات واقعی رویدادها استفاده کرده اما هویت فرستندگان را جعل نموده و لینک‌های ثبت‌نام مخرب را در متن قرار داده‌اند.
تحلیل‌های Cisco Talos نشان می‌دهد که در نگارش این ایمیل‌ها احتمالاً از هوش مصنوعی (AI) استفاده شده است، زیرا الگوهای تکراری در جملات و تمجیدهای کلی در متن‌ها مشاهده شده است. همچنین، مهاجمان پوسترهای رسمی رویدادها را کپی کرده و QR Codeهای آن‌ها را با نسخه‌های مخرب جایگزین کرده‌اند تا افرادی که ایمیل دریافت نکرده‌اند را نیز به دام بیندازند.
تحلیل فنی کیت فیشینگ
قربانی ابتدا با یک فرم جعلی Google Form مواجه می‌شود که او را به صفحه جعلی ورود گوگل هدایت می‌کند. برخلاف فرم‌های ساده جمع‌آوری رمز عبور، این کیت به اپراتور اجازه می‌دهد هر مرحله از احراز هویت را به‌صورت دستی کنترل کند. ساختار فنی این ابزار به شرح زیر است:
- تفکیک داده‌ها: درخواست‌های HTTP POST برای ارسال جزئیات مرورگر، شناسه‌های حساب و رمز عبور به زیرساخت مهاجم استفاده می‌شوند.
- کنترل لحظه‌ای: یک اتصال WebSocket پایدار، دستورالعمل‌ها را به صفحه بازمی‌گرداند تا مشخص شود کدام صفحه احراز هویت (مثلاً درخواست کد MFA) باید به کاربر نمایش داده شود.
جریان تبادل داده‌ها
فرآیند سرقت با رویداد google_login_start آغاز می‌شود که تنظیمات زبان، User-Agent و وضعیت دستگاه را جمع‌آوری می‌کند. سپس در رویداد google_input_identifier، ایمیل یا شماره تلفن قربانی برای بررسی در سرویس واقعی گوگل ارسال می‌شود. در نهایت، با وارد کردن رمز عبور در google_login_check، مهاجم هرگونه درخواست تاییدیه اضافی گوگل را از طریق WebSocket به رابط جعلی منتقل می‌کند تا پس از تکمیل مراحل توسط کاربر، Session Token را سرقت کرده و دسترسی کامل به حساب (Account Takeover) به دست آورد.
توصیه‌های امنیتی
برای مقابله با این نوع حملات، سازمان‌ها باید از روش‌های احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant MFA) مانند کلیدهای سخت‌افزاری استفاده کنند. همچنین توصیه می‌شود دعوت‌نامه‌های غیرمنتظره به‌صورت مستقل تایید شده و در صورت بروز حادثه، به‌جای تغییر ساده رمز عبور، تمامی نشست‌های فعال (Active Sessions) بررسی و ابطال شوند.
