Un phishing AitM, attribué à UAT-11985, vise des chercheurs taïwanais pour voler identifiants Google et codes MFA.

Des chercheurs en cybersécurité ont détaillé une campagne de spear-phishing. Elle est attribuée à un acteur de type APT, suivi sous le nom UAT-11985. Cette opération repose en effet sur un phishing AitM (adversary-in-the-middle) pour piéger ses victimes. Ainsi, son objectif est clair : récupérer les identifiants de compte Google et les codes d’authentification multifacteur (MFA). Il s’agit de personnes liées à des organismes de recherche de Taïwan.

Une campagne de spear-phishing ciblant la recherche taïwanaise

En effet, les cibles ne sont pas choisies au hasard. Il s’agit de personnes affiliées à des organisations de recherche basées à Taïwan. Ce profil intéresse souvent les acteurs avancés. Les chercheurs manipulent en effet des travaux, des contacts et des documents de valeur.

Le titre de la publication d’origine évoque de fausses invitations à des événements. Ce leurre est classique, mais efficace. En effet, un chercheur reçoit régulièrement des invitations à des conférences, des séminaires ou des ateliers. Un message de ce type paraît donc banal et peu suspect.

Par ailleurs, il s’agit bien de spear-phishing. Autrement dit, les messages sont conçus pour des individus précis, et non envoyés en masse. Cette personnalisation augmente donc nettement les chances de succès.

Comment fonctionne un phishing AitM

Un phishing AitM diffère d’une fausse page de connexion classique. Le site frauduleux ne se contente pas d’imiter le service légitime. En effet, il se place entre la victime et le vrai service. Ensuite, il relaie les échanges en temps réel.

Concrètement, le déroulement est le suivant :

1. D’abord, la victime clique sur le lien contenu dans le message.
2. Elle arrive sur une page qui ressemble à la connexion Google.
3. Elle saisit son identifiant et son mot de passe.
4. Ensuite, le framework transmet ces données au vrai service, puis renvoie à la victime les écrans suivants.
5. Enfin, la victime saisit son code MFA, que l’attaquant intercepte à son tour.

Ainsi, l’attaquant obtient les éléments nécessaires pour se connecter lui-même. Dans de nombreuses attaques de ce type, il récupère aussi le cookie de session. Cependant, les informations disponibles ici ne précisent pas ce point pour UAT-11985. Il convient donc de ne pas l’affirmer.

Pourquoi l’authentification multifacteur ne suffit pas

Le MFA reste une protection essentielle. Il bloque en effet la grande majorité des attaques fondées sur le simple vol de mot de passe. Toutefois, certaines méthodes de MFA sont vulnérables aux techniques AitM.

C’est le cas des codes à usage unique, par exemple ceux reçus par SMS ou générés par une application. Ainsi, la victime les saisit sur la fausse page, qui les transmet aussitôt. Le code reste valide, car il est utilisé presque immédiatement sur le vrai site.

Cette campagne illustre donc une tendance de fond. Les groupes avancés ne cherchent plus seulement à contourner le MFA par la force. En revanche, ils exploitent la confiance de l’utilisateur et la rapidité du relais.

De plus, le choix de Google comme cible est cohérent. En effet, un compte Google donne souvent accès à la messagerie, aux documents et à l’agenda. Pour un chercheur, ces données peuvent donc être très sensibles.

Recommandations face au phishing AitM

Les organisations de recherche, mais aussi les universités et les think tanks, peuvent réduire le risque. D’abord, il faut renforcer l’authentification. Ensuite, il faut former les utilisateurs à reconnaître les leurres.

• Privilégier les clés de sécurité FIDO2 ou les passkeys. Ces méthodes sont liées au nom de domaine légitime. Par conséquent, elles résistent bien aux pages relais.
• Vérifier l’URL avant toute connexion. Ainsi, une invitation qui mène vers un domaine inhabituel doit alerter.
• Confirmer l’invitation par un autre canal. Un simple appel ou un message à l’organisateur suffit donc souvent.
• Surveiller les connexions. Les alertes de connexion inhabituelle et l’examen des sessions actives aident à repérer un accès frauduleux.
• Signaler les messages suspects. En effet, une alerte rapide à l’équipe de sécurité protège les autres destinataires.

En cas de doute après avoir saisi ses identifiants, il faut agir vite. La personne doit changer son mot de passe, fermer toutes les sessions ouvertes et prévenir son équipe de sécurité. Elle doit également contrôler les règles de transfert de la messagerie et les applications autorisées sur son compte.

Ce qu’il faut retenir

• UAT-11985 est associé à une campagne de spear-phishing de type APT.
• Les cibles sont, en effet, des personnes affiliées à des organisations de recherche taïwanaises.
• Par ailleurs, le leurre repose sur de fausses invitations à des événements.
• De plus, le framework AitM vise les identifiants Google et les codes MFA.
• Enfin, les clés de sécurité FIDO2 offrent une meilleure protection que les codes à usage unique.

Source : UAT-11985 Uses Fake Event Invites to Target Taiwan Research Affiliates With Google AitM Phishing