Điểm chính

  • Chiến dịch tấn công mạng UAT-11985 nhắm vào các tổ chức nghiên cứu tại Đài Loan bằng cách giả mạo sự kiện học thuật.
  • Kẻ tấn công sử dụng kết nối WebSockets và hệ thống proxy trung gian để vượt qua cơ chế xác thực đa yếu tố MFA.
  • Mã độc được ngụy trang tinh vi qua mã QR trên tài liệu in và ứng dụng trí tuệ nhân tạo để soạn thảo nội dung.

Các nhà nghiên cứu bảo mật từ Cisco Talos đã phát hiện và công bố báo cáo chi tiết về một chiến dịch tấn công mạng có mức độ tinh vi cao, mang mã định danh UAT-11985, chuyên nhắm vào các cá nhân tại các tổ chức nghiên cứu ở Đài Loan thông qua hình thức giả mạo sự kiện và chính sách học thuật uy tín.

Phương thức tiếp cận và công nghệ tinh vi

Chiến dịch không chỉ giới hạn ở việc phát tán email lừa đảo truyền thống mà còn mở rộng phạm vi sang các tài liệu in ấn bằng cách thay thế mã QR hợp lệ bằng các liên kết độc hại. Điều này giúp kẻ tấn công tiếp cận được những nạn nhân tình cờ quét mã từ poster sự kiện. Đáng chú ý, nhóm tấn công đã ứng dụng trí tuệ nhân tạo để soạn thảo nội dung email, tạo sự chuyên nghiệp và đánh lừa người nhận hiệu quả hơn.

Cơ chế vượt qua xác thực đa yếu tố (MFA)

Hệ thống tấn công đóng vai trò như một proxy trung gian đứng giữa nạn nhân và dịch vụ xác thực thực tế, ví dụ như dịch vụ của Google. Thay vì sử dụng trang web tĩnh, kẻ tấn công vận hành một hệ thống điều khiển trực tiếp, tách biệt việc tải dữ liệu HTTP POST và cập nhật giao diện thông qua WebSockets để kiểm soát toàn bộ quá trình đăng nhập thời gian thực.

Đặc điểm kỹ thuật và biện pháp phòng thủ

Để qua mặt các hệ thống kiểm tra, mã JavaScript trên trang giả mạo được làm rối bằng chuỗi Base64 và kỹ thuật xoay vòng mảng. Hệ thống này cũng hỗ trợ đa ngôn ngữ gồm tiếng Anh cùng tiếng Trung giản thể và phồn thể. Để đối phó, các chuyên gia khuyến nghị doanh nghiệp triển khai xác thực chống phishing như FIDO2/WebAuthn, tích hợp các quy tắc Snort cho hệ thống IDS/IPS và giám sát chặt chẽ các kết nối WebSocket bất thường từ các miền chưa xác định.