Nach Einschätzung von Talos dürfte die Kampagne durch KI-gestützte Inhaltserzeugung befeuert sein: Innerhalb eines gemeinsamen Social-Engineering-Rahmens lassen sich so schnell maßgeschneiderte Köder für unterschiedliche Ziele erstellen. Dafür spricht, dass die Einladungsmails trotz sehr unterschiedlicher geopolitischer Themen nahezu identische syntaktische Strukturen aufweisen — ein Hinweis darauf, dass die Texte aus einer wiederverwendbaren Prompt-Vorlage massenhaft erzeugt und nicht einzeln ausgearbeitet wurden.
Die Mails folgen einem dreiteiligen Aufbau:
- ein einleitender Abschnitt mit einer, wie Talos formuliert, „ausgefeilten (aber übermäßig ausgeschmückten) Beschreibung" des geopolitischen oder politischen Kontexts,
- ein auf den Empfänger zugeschnittener Teil, der ihn schmeichelhaft darstellt, um eine Reaktion auszulösen,
- ein Abschnitt mit Veranstaltungsdetails wie Thema, Datum, Ort und Registrierungshinweisen.
„Die Operation nutzte legitime öffentliche Veranstaltungsthemen und gab sich als angesehene akademische und politische Institutionen aus, um Glaubwürdigkeit herzustellen", erklärte Talos-Forscher Joey Chen in einer Analyse. Die Angreifer imitierten dabei echte taiwanische Einrichtungen, darunter das Taiwan European Union Centre, das NCCU Institute of International Relations und das Taiwan Research Institute; die Absenderidentitäten wurden frei erfunden, um die Nachrichten überzeugender wirken zu lassen. „Zusammengenommen deuten die Wiederverwendung einer nahezu identischen Erzählstruktur, der rhetorische Stil, die persönliche Schmeichelei, die Institutionen-Imitation und der täuschende Registrierungsmechanismus stark auf eine koordinierte und sorgfältig ausgerichtete Spear-Phishing-Kampagne hin statt auf drei voneinander unabhängige Einladungen", so Talos.
Kern der Operation ist eine in die Mail eingebettete URL, die auf von den Angreifern kontrollierte Infrastruktur verweist — beim Überfahren des Links mit dem Mauszeiger wird jedoch eine legitim aussehende Google-Forms-Adresse angezeigt. In einem Teil der Fälle übernahmen die Täter echte Veranstaltungsplakate von legitimen Websites und tauschten darin die QR-Codes aus, sodass Opfer beim Scannen vermeintlich zur Anmeldung gelangen. „Über klassisches E-Mail-Phishing hinaus setzte der Akteur QR-Code-Phishing (Quishing) ein, indem er legitime Veranstaltungsplakate mit bösartigen QR-Codes veränderte und die Angriffsfläche damit über die E-Mail-Empfänger hinaus auf sekundäre Opfer ausweitete, die auf gedruckte Materialien stoßen könnten", sagte Chen.
Die Phishing-Seite ahmt das Erscheinungsbild eines echten Google-Formulars nach. Ihr eigentlicher Zweck ist ein Pop-up, das zur Anmeldung mit dem Google-Konto auffordert, um das Formular abzuschließen. Darüber gelangen Opfer auf eine gefälschte Seite mit nachgebildetem Google-Login-Panel, die Zugangsdaten und Authentifizierungsabfragen abfängt.
Technisch handelt es sich bei der pixelgenauen Kopie um einen AitM-Proxy: Obfuskiertes JavaScript sammelt die Eingaben und leitet sie in Echtzeit über eine WebSocket-Verbindung an die Angreifer weiter, während sie gleichzeitig an die echten Google-Authentifizierungsserver weitergereicht werden. Noch vor dem Aufbau der WebSocket-Verbindung erhebt das Skript Geräte- und Browserdaten — Locale, User Agent, Bildschirmabmessungen und ob es sich um ein Mobilgerät handelt — und meldet sie per „google_login_start"-Anfrage an den Command-and-Control-Server. Gibt das Opfer das Passwort ein, überträgt die Seite es zusammen mit der Kontokennung und der User-Agent-Information per „google_login_check"-Anfrage an den HTTP-C2-Server des Akteurs, der die Anmeldedaten aus seiner Zwischenposition an den echten Google-Dienst weiterleitet.
Die gefälschten Login-Panels unterstützen laut Chen ausschließlich vereinfachtes Chinesisch (zh-CN), traditionelles Chinesisch (zh-TW) und Englisch, wobei die Region anhand von „navigator.languages" im Browser des Opfers bestimmt wird — ein deutlicher Hinweis auf chinesischsprachige Ziele. „Indem der Bedrohungsakteur einmalige Uploads per POST-Anfragen bewusst von latenzarmen Statusaktualisierungen über die WebSocket-Verbindung trennt, hat er ein nahtloses Relais zum Abgreifen von Zugangsdaten konstruiert", erläuterte Chen. So lasse sich Googles dynamischer Authentifizierungszustand in Echtzeit spiegeln und am Ende die vollständige Kontoübernahme erreichen, ohne beim Opfer Verdacht zu erregen.