TA419: phishing AitM împotriva experților în politici de IA

Pe 1 octombrie 2026, Proofpoint a publicat primul raport public despre TA419, un grup pe care îl consideră aliniat cu China. Potrivit cercetătorilor, cel puțin din aprilie 2025 grupul desfășoară campanii de furt de credențiale împotriva persoanelor care lucrează în think tank-uri, universități, case de avocatură și companii din domeniul apărării din Statele Unite și Japonia. În 2026, ținta s-a mutat spre cei care se ocupă de politici privind inteligența artificială.

Aspectul tehnic cel mai relevant este tehnica: o pagină de autentificare adversary-in-the-middle (AitM) care transmite în timp real login-ul către Microsoft 365. Parola, codul MFA și verificările de acces condiționat trec, iar atacatorul păstrează cookie-urile de sesiune.

Ce s-a întâmplat

Campaniile urmează o schemă de inginerie socială răbdătoare:

• februarie 2026: TA419 s-a dat drept un angajat de rang înalt al Anthropic pentru a contacta un analist de politici IA de la un think tank american, cu subiectul „Request for Feedback on Military Integration of Claude”;
• din 8 iulie 2026: e-mailuri în numele lui Lynne Parker, fost director adjunct principal al Office of Science and Technology Policy de la Casa Albă, și apoi al lui Heidi Crebo-Rediker, economistă și expertă în politică externă, trimise unui număr mai mare de experți din think tank-uri, universități și case de avocatură. Potrivit The Register, cea mai mare parte a activității a avut loc în iulie.

Primul mesaj nu conține nimic rău intenționat: este invitația de a face parte dintr-un inexistent „AI Policy Advisory Committee” sau de a contribui la un raport al Comisiei pentru relații externe a Senatului despre controalele la export și lanțurile de aprovizionare din IA. Dark Reading subliniază că grupul construiește relații profesionale aparent legitime. Doar cine răspunde primește linkul rău intenționat.

Potrivit Proofpoint, campaniile servesc probabil la culegerea de informații despre evoluția politicilor și a reglementărilor americane privind IA, pe fondul rivalității cu China legate de controalele la export și distilarea modelelor. Proofpoint se așteaptă ca grupul, deja activ în apărare, securitate națională, energie și politică externă, să continue să se dea drept experți reali.

Detalii tehnice

Lanțul de atac, reconstruit prin compararea surselor:

1. un e-mail de contact de la un expeditor care se dă drept o persoană reală, fără linkuri sau atașamente;
2. după răspuns, un URL scurtat care trece prin mai multe redirecționări către un domeniu al atacatorului;
3. o verificare Cloudflare Turnstile ascunsă în spatele unui fals ecran de încărcare OneDrive, care ține la distanță scanerele și sandbox-urile;
4. pagina de login AitM, care funcționează ca proxy invers către Microsoft 365 / Entra ID prin aplicația proprie OfficeHome (client_id 4765445b-32c6-49b0-83e6-1d93765276ca).

Kitul de phishing: se bazează pe Frameless BitB, un kit public care desenează o fereastră falsă de browser în interiorul paginii (Browser-in-the-Browser), cu un phishlet Evilginx pentru interceptarea numelui de utilizator, a parolei și a cookie-urilor de sesiune Microsoft 365, plus reguli pe server care injectează kitul în paginile transmise. TA419 a adăugat un modul propriu care urmărește în ce punct al autentificării se află victima, bifează singur „Păstrează-mă conectat” pentru a prelungi viața sesiunii furate și introduce codurile unice imediat ce sunt acceptate.

Infrastructura și indicatorii publici:

• campaniile din iulie 2026: driftshare[.]co (prima etapă) și globalfileshareplatform[.]com (a doua etapă);
• domenii pe tema partajării de fișiere și a cloudului, precum msfile[.]online și onecloudfilesync[.]com;
• domenii care imită organizații: Japan-Taiwan Exchange Association (tw-koryu[.]org), Heritage Foundation (heritiages[.]org, heritiage[.]org), site-ul ministrului japonez al Apărării, Shinjirō Koizumi (shinjirou[.]info);
• servere ascunse în spatele CDN-ului Cloudflare. Raportul Proofpoint enumeră zeci de alte domenii și adrese din 2026, cu datele de înregistrare.

MITRE ATT&CK (corespondență pe baza faptelor raportate): T1656 (Impersonation), T1566.002 (Spearphishing Link), T1583.001 (Acquire Infrastructure: Domains), T1557 (Adversary-in-the-Middle), T1111 (Multi-Factor Authentication Interception), T1539 (Steal Web Session Cookie), T1550.004 (Use Alternate Authentication Material: Web Session Cookie).

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Europa. Totuși, tehnica nu are nimic specific Statelor Unite: funcționează împotriva oricărui tenant Microsoft 365 protejat cu parolă și MFA tradițional (SMS, aplicație cu cod sau notificare). În Europa, cu AI Act și dezbaterea despre controalele la export, centrele de studii, universitățile, casele de avocatură și furnizorii din apărare care lucrează pe aceste teme au același profil ca țintele.

Pentru entitățile NIS2, cazul privește direct articolul 21, care printre măsuri cere soluții de autentificare multifactor: un MFA care poate fi transmis printr-un proxy reduce riscul mult mai puțin decât pare. Un cont compromis cu acces la e-mail și documente poate deveni un incident care trebuie notificat CSIRT-ului național (în Italia, CSIRT Italia al ACN).

Ce ai de făcut imediat

1. Treci la un MFA rezistent la phishing: passkey-uri sau chei FIDO2, legate de origine, care nu funcționează pe un domeniu diferit de cel legitim. Este recomandarea principală a Proofpoint. Începe cu directorii, cercetătorii și persoanele cu vizibilitate publică.
2. Blochează indicatorii: adaugă domeniile publicate în filtrele DNS, proxy și de e-mail și caută-le în logurile din ultimele luni.
3. Caută sesiunile furate: în logurile de autentificare Entra ID verifică login-urile în aplicația OfficeHome de la adrese sau rețele neobișnuite, sesiunile persistente create imediat după o autentificare reușită și folosirea aceluiași token din locații diferite.
4. Dacă găsești un cont compromis: revocă toate sesiunile și tokenurile de reîmprospătare, resetează credențialele, verifică metodele MFA înregistrate și regulile de căsuță poștală create recent.
5. Întărește accesul condiționat: cere dispozitive gestionate sau conforme pentru e-mail și documente, astfel încât un cookie furat să fie inutil de pe o mașină externă.
6. Instruiește persoanele expuse: un contact nesolicitat din partea unui expert, chiar credibil și fără linkuri, poate fi prima etapă a unui atac. Verifică-l pe un canal independent, de exemplu un număr de telefon pe care îl cunoști deja.

Cum ajută ARXDOME

ARX Expose semnalează domeniile asemănătoare cu al tău înregistrate de alții și conturile companiei implicate în breșe, două ingrediente tipice ale acestor campanii. ARX Horizon îmbogățește fiecare eveniment cu listele de amenințări și îți permite să cauți indicatori de compromitere din portal. ARX Sentry colectează logurile serverelor și ale firewallurilor și grupează autentificările, rafalele de încercări și modificările conturilor în paginile SOC.

Ultima actualizare: 5 octombrie 2026