UAT-11985, Tayvanlı araştırmacıları sahte etkinlik davetleriyle Google hesaplarından vuruyor

The Hacker News'in 16 Ekim'de Cisco Talos araştırmacısı Joey Chen'in analizine dayanarak aktardığına göre, UAT-11985 adıyla izlenen yeni bir gelişmiş kalıcı tehdit (APT) kümesi, Tayvan'daki araştırma kurumlarıyla bağlantılı kişileri sahte etkinlik davetleriyle hedef alıyor. Amaç, Google hesap parolalarını ve çok faktörlü doğrulama (MFA) kodlarını çalarak hesapları tamamen ele geçirmek. Talos, ilk kez 2026 ortasında görülen kampanyanın büyük olasılıkla yapay zekâ destekli içerik üretimiyle beslendiğini ve bu sayede saldırganların hedefe özel tuzakları hızla hazırlayabildiğini değerlendiriyor.

Neler oldu?

Habere göre e-postalar gerçek veya inandırıcı kamuya açık etkinlik bilgileri kullanıyor; Taiwan European Union Centre, NCCU Uluslararası İlişkiler Enstitüsü ve Taiwan Research Institute gibi akademik ve politika kurumlarını uydurma gönderici kimlikleriyle taklit ediyor. Talos, farklı jeopolitik konulardaki mesajların neredeyse aynı üç bölümlü yapıyı paylaştığını tespit etti: ayrıntılı bir bağlam açıklaması, kişiye özel övgü ve kayıt talimatlarını içeren etkinlik bilgileri. Bu benzerlik, yeniden kullanılabilir bir şablondan seri üretim yapıldığına işaret ediyor.

Bazı durumlarda saldırganlar QR kodlu oltalamaya da başvurdu: İnternetten toplanan gerçek etkinlik afişlerindeki QR kodlarını değiştirdiler. Talos, bu afişlerin basılı kopyalarının e-posta alıcılarının ötesinde başka kurbanlara da ulaşabileceğine dikkat çekti.

Teknik detaylar

E-postadaki bağlantının üzerine gelindiğinde bir Google Forms adresi görünüyor, ancak bağlantı saldırgan altyapısına gidiyor. Kurban önce Google Formu taklit eden bir sayfayla, ardından formu tamamlamak için Google hesabıyla giriş yapmasını isteyen bir açılır pencereyle karşılaşıyor ve son olarak ortadaki saldırgan (AitM) vekil sunucusu olarak çalışan sahte bir Google giriş sayfasına yönlendiriliyor. Vekil sunucu, kimlik bilgilerini ve doğrulama adımlarını yakalayıp gerçek Google sunucularına iletiyor; böylece giriş başarılı görünürken hesap saldırganın eline geçiyor.

The Hacker News'e göre gizlenmiş JavaScript kodu, kurbanın dil ayarını, tarayıcı bilgisini, ekran boyutunu ve mobil cihaz kullanıp kullanmadığını google_login_start isteğiyle; parola ve hesap bilgilerini ise google_login_check isteğiyle gönderiyor. Doğrulama durumu bir WebSocket bağlantısıyla gerçek zamanlı yansıtılıyor. Talos'a göre giriş panelleri Basitleştirilmiş Çince, Geleneksel Çince ve İngilizceyi destekliyor; navigator.languages ile yapılan bölge tespiti Çince konuşan kullanıcılara odaklanıldığını düşündürüyor. Haberde küme herhangi bir ülkeyle ilişkilendirilmiyor.

Kimler etkileniyor?

Kampanya Tayvanlı araştırma ve politika kurumlarıyla bağlantılı araştırmacıları, akademisyenleri ve diğer kişileri hedef alıyor. Ancak şablonun yeniden kullanılabilir olması, benzer tuzakların başka gruplara da yöneltilebileceği anlamına geliyor.

Ne yapmalı?

• Etkinlik davetlerini kayıt olmadan veya giriş yapmadan önce bağımsız bir kanaldan doğrulayın.
• Afişlerdeki ve e-postalardaki QR kodlarına bağlantılar kadar şüpheyle yaklaşın.
• Google giriş sayfalarının gerçek alan adını kontrol edin; bir Google Formu sizi üçüncü taraf bir giriş sayfasına yönlendirmemeli.
• AitM vekil sunucuları tek kullanımlık kodları aktarabildiği için donanım güvenlik anahtarı veya geçiş anahtarı (passkey) gibi oltalamaya dayanıklı MFA kullanın ve hesaplardaki beklenmedik oturumları izleyin.