Especialistas en ciberseguridad han documentado una campaña de amenaza persistente avanzada (APT) denominada UAT-11985 que emplea invitaciones a eventos legítimos y códigos QR manipulados para dirigir a víctimas hacia un proxy AitM que captura sus credenciales de Google y códigos de autenticación multifactor (MFA).
Cómo funciona el engaño y qué recoge el atacante
Los correos de la campaña usan temáticas de eventos públicos y suplantan organizaciones académicas y de política reconocidas en Taiwán para ganar credibilidad. Aunque los asuntos y temas varían, los mensajes comparten una estructura sintáctica casi idéntica, lo que sugiere generación masiva de contenido a partir de plantillas, posiblemente asistida por inteligencia artificial para adaptar los anzuelos.
En muchos casos los atacantes reutilizan carteles de eventos reales obtenidos de sitios legítimos pero sustituyen los códigos QR por versiones maliciosas. Esos QR, al ser escaneados, llevan a formularios falsos que aparentan ser Google Forms. Al completar el “registro”, el usuario recibe un pop‑up que le solicita iniciar sesión con su cuenta Google.
La web fraudulenta incluye una réplica muy fiel del panel de inicio de sesión de Google. Detrás hay un proxy AitM que, mediante JavaScript ofuscado y una conexión WebSocket, recoge y exfiltra en tiempo real la información introducida: identificador de cuenta, contraseña y datos de la sesión. Al mismo tiempo, el proxy reenvía las credenciales a los servidores de autenticación de Google, permitiendo al atacante reproducir el flujo de autenticación sin alertar fácilmente a la víctima.
A quién afecta y por qué están dirigidos
Los investigadores indican que el blanco principal son personas vinculadas a centros de investigación y think tanks taiwaneses. El sitio de phishing detecta la configuración de idioma del navegador (navigator.languages) y ofrece interfaces en chino tradicional, chino simplificado o inglés, lo que refuerza la hipótesis de focalización en usuarios sinocéntricos.
Además de los correos electrónicos, el uso de QR maliciosos amplía la superficie de ataque a materiales impresos y cartelería que pueden circular en conferencias o pasillos académicos, alcanzando a personas que no recibieron el mensaje original por correo.
Implicaciones técnicas y riesgos para administradores
El componente central es el proxy AitM: una infraestructura que actúa de intermediaria entre la víctima y el servicio legítimo, permitiendo la captura de credenciales y códigos MFA en tiempo real. Técnicamente, el atacante combina:
- Formularios clonados que inducen al inicio de sesión.
- JavaScript ofuscado que recopila metadatos del dispositivo (user agent, dimensiones de pantalla, localización lingüística) antes de abrir la conexión WebSocket.
- Una secuencia de peticiones POST y mensajes WebSocket que separan la carga de datos de baja latencia para mantener un intercambio sincronizado con los servidores legítimos.
El riesgo es la toma completa de cuentas (account takeover) incluso con MFA habilitado, porque el AitM retransmite los desafíos de autenticación al servicio real y devuelve las respuestas en tiempo real.
Qué deben hacer administradores y responsables de sitios
- Formar a usuarios sobre phishing avanzado: enseñar a verificar URLs reales en el navegador (no fiarse de la apariencia del formulario) y desconfiar de invitaciones inesperadas, incluso si aparentan venir de instituciones conocidas.
- Evitar registrar cuentas con acceso crítico mediante enlaces enviados por correo o QR: preferir accesos directos desde el portal oficial o escribir la URL manualmente.
- Habilitar métodos de MFA resistentes a AitM cuando sea posible, como llaves de seguridad hardware (FIDO2/WebAuthn), que no pueden retransmitirse fácilmente por un proxy.
- Implementar y revisar registros de acceso y alertas por inicios de sesión atípicos (geolocalización, agentes de usuario) y exigir reautenticación para acciones sensibles.
- Para eventos impresos, comprobar que los QR apunten a dominios oficiales antes de escanear; considerar usar mecanismos de verificación en el punto de registro.
Conclusión
UAT-11985 muestra la combinación de ingeniería social sofisticada con técnicas técnicas (AitM y ofuscación) para eludir MFA y comprometer cuentas Google. Los administradores y responsables de seguridad de organizaciones académicas y de investigación deben reforzar la concienciación, priorizar MFA basadas en llaves de seguridad y supervisar patrones de autenticación inusuales para reducir el riesgo de toma de cuentas.
Lee también:
- Resumen de seguridad: ICS‑Sniper, fallo en XWorm, exploit de Chrome y otras noticias relevantes
- Exploit local demuestra escalada a root en OpenBSD 7.9 aprovechando un bug de memoria compartida de ~37 años
Fuente: The Hacker News
