新聞

資安業者Proofpoint揭露中國相關網路間諜組織TA419，該組織至少自2025年4月持續對任職於美國及日本境內智庫、國防承包商、大學及法律事務所的人員，發動以竊取登入憑證為目的的針對性網釣攻擊，今年進一步鎖定美國AI政策圈。攻擊者假冒前白宮科技政策官員及外交政策專家，以AI政策、出口管制及供應鏈等議題接近目標，並透過對手中間人（Adversary-in-the-Middle，AiTM）網釣，企圖擷取Microsoft帳號登入憑證及連線階段Cookie。

與一般直接夾帶惡意網址的網釣郵件不同，TA419第一次接觸目標時不會立即投遞網釣連結。研究人員觀察到，攻擊者先寄出不含惡意連結的郵件，等待目標回覆並建立對話後，才在後續郵件提供縮短網址。收件者點擊後，網址會經過多階段重新導向，第一階段在假冒OneDrive的載入畫面背後執行Cloudflare Turnstile檢查，通過後再將目標導向結合Browser-in-the-Browser（BitB）技術的對手中間人網釣頁面。

為提高網釣頁面的可信度，TA419使用客製化的開源BitB網釣工具Frameless BitB，在網頁中模擬瀏覽器視窗。這個模擬的瀏覽器視窗背後，則透過代理伺服器即時轉送真正的Microsoft登入流程，因此使用者輸入密碼後，多因素驗證（MFA）及條件式存取檢查仍可正常進行，攻擊者則可攔截完成驗證後產生的連線階段Cookie。

TA419也使用多種基礎設施支援攻擊活動，包括透過Cloudflare內容傳遞網路（CDN）隱藏後端主機IP位址，以及利用虛擬私人伺服器（VPS）和常駐代理網路。研究人員還發現TA419註冊多個模仿合法機構或組織的網域，用於不同的身分冒用活動。

其中，研究人員發現攻擊者建立冒用日本臺灣交流協會（Japan-Taiwan Exchange Association）名稱的tw-koryu[.]org網域。此次揭露僅交代該網域涉及身分冒用活動，沒有說明其實際攻擊對象，也未將這項發現與鎖定臺灣的攻擊活動連結。

至於這波網釣活動的實際入侵成果，Proofpoint沒有公布受害帳號數量，也未說明攻擊者是否成功存取目標的電子郵件或其他帳號資料。