Eine als UAT-11985 geführte Spear-Phishing-Kampagne verwendet erfundene Einladungen zu Veranstaltungen und gefälschte Google-Anmeldeseiten, um Google-Konten von Personen zu übernehmen, die Forschungseinrichtungen in Taiwan angehören.
Die Aktivität wurde laut The Hacker News über die Ergebnisse von Cisco Talos erstmals Mitte 2026 beobachtet. Die Angreifer kombinieren glaubwürdiges öffentliches Veranstaltungsmaterial mit einem Adversary-in-the-Middle-(AitM-)Proxy, der Zugangsdaten und Multi-Faktor-Authentifizierungs-Abfragen abfangen soll und dabei mit dem legitimen Authentifizierungsdienst von Google kommuniziert.
Die Berichterstattung beziffert weder die Zahl der Ziele der Kampagne, noch belegt sie, wie viele Konten, falls überhaupt, erfolgreich kompromittiert wurden.
Einladungen geben sich als taiwanische Forschungs- und Politikinstitute aus
Die E-Mails geben sich als Einladungen zu geopolitischen oder politischen Veranstaltungen aus. Die Absenderangaben sind erfunden und sollen drei Einrichtungen ähneln:
- Taiwan European Union Centre
- NCCU Institute of International Relations
- Taiwan Research Institute
Einige Nachrichten enthalten echte oder plausible Veranstaltungsinformationen. Der eingebettete Anmeldelink führt zu einer Infrastruktur, die von den Angreifern kontrolliert wird. Talos berichtete jedoch, dass beim Darüberfahren mit der Maus eine scheinbar legitime Google-Forms-Adresse angezeigt werden kann.
Ein Teil der Kampagne nutzt QR-Code-Phishing, häufig als Quishing bezeichnet. Dabei übernehmen die Angreifer authentische Veranstaltungsplakate von legitimen Websites und ersetzen den ursprünglichen QR-Code durch einen Code, der Scanner auf die schädliche Seite leitet. Talos warnte, dass diese Technik auch Personen erreichen könnte, die auf gedruckte Exemplare des manipulierten Materials stoßen. Das Risiko würde sich damit über die ursprünglichen E-Mail-Empfänger hinaus ausweiten.
Cisco Talos schätzte, dass KI wahrscheinlich bei der Erstellung der Köder-Inhalte geholfen hat. Diese Einschätzung beruht auf strukturellen Ähnlichkeiten zwischen Nachrichten zu unterschiedlichen geopolitischen Themen und nicht auf einem bestätigten Einblick in den Produktionsprozess der Angreifer.
Den Berichten zufolge folgen die E-Mails einem wiederkehrenden dreiteiligen Aufbau: einer ausführlichen Erörterung des politischen Hintergrunds der Veranstaltung, persönlich gehaltenem Lob, das den Empfänger zu einer Antwort bewegen soll, und logistischen Angaben wie Thema, Veranstaltungsort und Anmeldeverfahren. Talos wertete die wiederholten erzählerischen und rhetorischen Muster als Hinweis auf eine koordinierte Kampagne, die eine wiederverwendbare Vorlage nutzt.
Der Proxy leitet Zugangsdaten und MFA-Abfragen in Echtzeit weiter
Nach dem Aufruf des Anmeldelinks sieht der Empfänger eine Seite im Design eines Google-Formulars. Ein Pop-up fordert den Nutzer dann auf, sich mit einem Google-Konto anzumelden, bevor das Formular ausgefüllt werden kann.
Die nächste Seite bildet das Anmeldefenster von Google originalgetreu nach. Laut der berichteten Analyse von Talos sammelt verschleierter JavaScript-Code vor dem Öffnen einer WebSocket-Verbindung Informationen über den Besucher, darunter:
- Browser-Spracheinstellung (Locale)
- User Agent
- Bildschirmabmessungen
- Ob der Besucher ein Mobilgerät verwendet
Die Seite übermittelt dieses Profil über eine Anfrage namens google_login_start an den Command-and-Control-Server.
Wenn der Nutzer ein Passwort absendet, stellt die Seite eine weitere Anfrage, google_login_check, die Passwort, Kontokennung und User Agent des Browsers enthält. Der HTTP-C2-Server der Angreifer leitet die Authentifizierungsdaten an Google weiter, während die schädliche Seite über ihre WebSocket-Verbindung Änderungen im echten Anmeldeprozess spiegelt.
So sieht das Opfer Authentifizierungsschritte, die normal wirken. Gleichzeitig können die Angreifer Zugangsdaten empfangen und MFA-Abfragen weiterleiten, während sie auftreten. Talos beschrieb das Ziel als das Erlangen ausreichenden Authentifizierungsmaterials für eine vollständige Kontoübernahme, ohne den Anmeldeablauf sichtbar zu unterbrechen.
Da der Angriff als Live-Relay arbeitet, schützt ein MFA-Code nicht unbedingt, wenn der Nutzer ihn in das gefälschte Anmeldefenster eingibt. Der Code kann während derselben Sitzung an den legitimen Dienst weitergereicht werden.
Sprachunterstützung deutet auf einen breiteren Fokus auf chinesischsprachige Nutzer hin
Die gefälschten Seiten unterstützen vereinfachtes Chinesisch (zh-CN), traditionelles Chinesisch (zh-TW) und Englisch. Talos sagte, dies „deutet stark darauf hin“, dass chinesischsprachige Nutzer im Fokus stehen. Die Sprachoptionen sind jedoch ein Hinweis auf die beabsichtigte Reichweite und keine Bestätigung der Identität oder des Standorts jedes einzelnen Opfers.
Die belegten Ziele konzentrieren sich weiterhin auf Personen, die mit taiwanischen Forschungseinrichtungen verbunden sind und sich für geopolitische oder politische Themen interessieren. Das Auftreten als Institution, das auf den Empfänger zugeschnittene Lob und bekannte öffentliche Veranstaltungen schaffen den sozialen Rahmen, der eine unerwartete Authentifizierungsaufforderung alltäglich wirken lassen soll.
So können Empfänger das Risiko verringern
Empfänger sollten Anmeldeaufforderungen, die über unaufgeforderte Veranstaltungseinladungen oder QR-Codes erreicht werden, als potenziell schädlich einstufen, auch wenn Veranstaltungsdetails und Plakat authentisch wirken. Statt sich über die Einladung anzumelden, sollten Nutzer die Einrichtung oder den Veranstalter über eine separat ermittelte Adresse aufrufen und den Anmeldevorgang dort bestätigen.
Besondere Aufmerksamkeit verdient die tatsächliche Adresszeile des Browsers in dem Moment, in dem Zugangsdaten oder eine MFA-Abfrage verlangt werden. Eine optisch korrekte Darstellung ist kein Beleg dafür, dass eine Seite zu Google gehört, denn die Kampagne ist gezielt darauf ausgelegt, das legitime Anmeldeerlebnis nachzubilden.
Wer nach dem Öffnen einer dieser Einladungen Google-Zugangsdaten oder eine MFA-Antwort eingegeben hat, sollte umgehend die zuständige Sicherheits- oder Kontoadministration informieren. Die Administratoren können dann die Kontoaktivität und aktiven Sitzungen im etablierten Incident-Response-Prozess prüfen, statt sich allein auf eine Passwortänderung zu verlassen.
Die Variante mit QR-Codes bedeutet außerdem, dass dieselbe Vorsicht für Plakate und gedruckte Einladungen gilt: Ein echt wirkendes Veranstaltungsdokument garantiert nicht, dass das Ziel des QR-Codes legitim ist.
