Een APT-campagne die onder de naam UAT-11985 AitM phishing wordt gevolgd, probeert slachtoffers te verleiden met neppe eventuitnodigingen. Daarbij richt de aanvaller zich op mensen die verbonden zijn aan Taiwan-onderzoek en beleidsorganisaties, met als doel om Google-accountcredentials én MFA-codes te verzamelen.
Wat deze campagne extra verontrustend maakt, is de combinatie van sociale manipulatie met een technisch geavanceerde adversary-in-the-middle (AitM)-aanpak. Daardoor kan de aanvaller de aanmeldstroom als het ware “meelopen” zodat de kans op een volledige accountovername toeneemt.
Waarom UAT-11985 zo overtuigend is
Volgens Cisco Talos gebruikt de aanvaller bij het opstellen van de lures AI-ondersteunde contentgeneratie. Dat helpt om snel lures te maken die aansluiten op verschillende doelwitten, terwijl ze passen binnen één herbruikbaar sociaal-technisch raamwerk.
De uitnodigingen leunen op legitieme, publieke thema’s en imiteren gerenommeerde academische en beleidsinstellingen. Zo ontstaat geloofwaardigheid bij de ontvanger, zeker omdat de inhoud grote gelijkenis vertoont tussen berichten die over uiteenlopende onderwerpen gaan.
Talos beschrijft daarnaast dat de e-mails niet willekeurig zijn opgebouwd. Ze volgen vrijwel dezelfde opbouw en taalstijl, inclusief gepersonaliseerde complimenten en een gerichte “registerer”-aanleiding. Dat wijst erop dat de campagne gecoördineerd en doelgericht is, niet drie onafhankelijke uitnodigingen.
Van e-mail naar QR-quishing: breder bereik
De campagne gaat verder dan klassieke spear-phishing via e-mail. In een deel van de gevallen worden QR-codes gebruikt op posters die lijken op officiële eventmateriaal. Onderzoekers noemen dit quishing: slachtoffers worden naar een kwaadaardige flow geleid via het scannen van een QR-code.
Opvallend is dat de aanvaller soms echte eventposters overneemt van legitieme websites, maar de QR-code aanpast. Daardoor komen niet alleen e-mailontvangers in beeld, maar ook secundaire slachtoffers die een gedrukte poster tegenkomen en de QR-code scannen.
De neppe Google-registratie werkt als AitM-relay
Centraal in de aanval staat een klikbare link in de uitnodiging, die leidt naar infrastructuur die door de aanvaller wordt beheerd. Wanneer een slachtoffer over de hyperlink zweeft, lijkt de bestemming op het eerste gezicht op een Google Forms-achtige URL. In de praktijk wordt de bezoeker echter naar een pagina geleid die een aanmeldprompt opzet.
De phishingwebsite imiteert het uiterlijk van een Google Form. Het doel is niet alleen om informatie te laten invullen, maar om de gebruiker te laten inloggen met een Google-account om de “form” af te ronden. Zodra het slachtoffer dat doet, start de AitM-stroom.
Talos legt uit dat de phishingpagina fungeert als een AitM-proxy die via obfuscated JavaScript in real-time gegevens verzamelt en doorstuurt. Daarbij wordt de aanmeldflow niet zomaar nagebootst, maar wordt deze actief doorgegeven terwijl de echte Google-authenticatie op de achtergrond meewerkt.
Wat er tijdens het inloggen wordt verzameld
Voor de WebSocket-verbinding legt de JavaScript payload informatie vast over apparaat en browser, zoals:
- locale-instellingen
- user-agent
- schermafmetingen
- of het een mobiel apparaat betreft
Die gegevens worden vervolgens gemeld aan het command-and-control-systeem via verzoeken zoals een “google_login_start”-bericht.
Wanneer het slachtoffer zijn wachtwoord invult, stuurt de pagina onder andere het wachtwoord, het account-id en browserkenmerken door met een bericht zoals “google_login_check”. Daarna forwardt de aanvaller de credentials door naar de echte Google authentication service.
Regionale aanwijzingen en taalprofilering
In de geobserveerde gevallen werken de nagemaakte Google-loginpanelen met specifieke locales: vereenvoudigd Chinees (zh-CN), traditioneel Chinees (zh-TW) en Engels. De regio wordt vastgesteld op basis van navigator.languages in de browser.
Dat suggereert dat de campagne vooral mikt op Chinese-taal sprekers. Het is een signaal dat de lures niet alleen thematisch, maar ook qua taal en presentatie zijn afgestemd op beoogde doelgroepen.
Waarom MFA niet genoeg lijkt bij AitM
Veel organisaties vertrouwen erop dat MFA phishing “wel dempt”. In een AitM-scenario ligt het anders: de aanvaller probeert de gebruiker zo ver te krijgen dat de inlogstroom op dezelfde manier wordt doorgegeven als bij een echte aanmelding.
Doordat de phishingstroom de authenticatiestatus in real time kan spiegelen, kan een aanvaller de interactie met de login verwerken zonder dat de gebruiker per se verdacht wordt. Talos noemt dit een manier om een naadloze credential-harvesting relay op te zetten.
Het resultaat is dat niet alleen wachtwoorden worden verzameld, maar dat ook MFA-uitdagingen en -codes in het proces kunnen worden meegenomen, met het risico op volledige accountovername.
Nepsignalementen: waar je op kunt letten
Geen enkele indicator is op zichzelf een garantie, maar deze patronen uit de beschrijving van Talos kunnen helpen om verdachte uitnodigingen te herkennen:
- Bijna identieke structuur in verschillende e-mails, ongeacht onderwerp of doelgroep.
- Geloofwaardige institutionele namen die net echt lijken, maar niet corresponderen met je eigen context.
- Eventregistratie die aanvoelt als “nu moet je inloggen om door te gaan”.
- QR-codes op posters waarvan je niet met zekerheid weet waar ze vandaan komen.
- Een “Google Forms”-achtige flow die toch leidt tot een aparte login-ervaring.
Neem daarnaast de moeite om kritisch te zijn op het moment dat een uitnodiging je vraagt om in te loggen om een formulier te voltooien. Legitieme registraties vragen doorgaans niet om een Google-inlog op een onverwachte site.
Praktische aanpak voor teams en medewerkers
Als je te maken hebt met mogelijke AitM-phishing, is het verstandig om maatregelen te combineren: procedureel, technisch en gebruikersgericht. Hieronder staan concrete acties die passen bij dit type dreiging.
Maak het voor gebruikers moeilijk om de foute pagina te gebruiken
Moedig medewerkers aan om aanmeldingen alleen te doen via bekende routes (bijvoorbeeld door zelf de officiële dienst te openen) en niet via doorgestuurde links voor gevoelige acties. Bij twijfels: controleer de bron van een event en verifieer de registratie-instructies via een zelfstandig gevonden contactkanaal.
Beperk het risico met hardening en monitoring
Omdat de phishingstroom credentials en authenticatiebronnen probeert te verzamelen, is alertheid op account- en login-signalen belangrijk. Denk aan het monitoren van:
- ongewone aanmeldlocaties of -tijden
- meerdere mislukte pogingen
- typische patronen rond “form”-registraties
Werk daarnaast toe naar veiligere authenticatiepraktijken waar passend, en zorg dat incident response- en herstelprocedures helder zijn.
Test en train specifiek op QR-phishing
Omdat quishing het bereik vergroot naar mensen die geen e-mail hebben ontvangen, is training op QR-verleidingen essentieel. Laat teams bijvoorbeeld oefenen met het herkennen van gewijzigde QR-pagina’s en het veilig omgaan met “scannen om te registreren”.
Gerelateerd: context en eerdere phishingtechnieken
Wil je breder inzicht in hoe phishing- en AI-gedreven campagnes zich ontwikkelen en waarom bewijs en triage belangrijk zijn? Lees dan ook:
- AI confidence is geen validatie: zoborg je bewijs
- Contextuele cyberdefensie: van losse meldingen naar actie
- AI beslismodellen voor AI-SOC triage: winst
Conclusie
UAT-11985 AitM phishing laat zien hoe neppe eventuitnodigingen, AI-ondersteunde lure-opbouw en een AitM-proxy samenkomen in één overtuigende aanval. Door zowel e-mail als QR-quishing te gebruiken en door de Google-aanmeldstroom real-time te relayeren, verhoogt de aanvaller de kans op credential- en MFA-compromittering.
De beste verdediging is een combinatie van waakzaamheid voor verdachte registratieflows, training tegen QR-phishing en sterke monitoring rond authenticatie. Zo verklein je de kans dat een “gewone” uitnodiging verandert in een accountovername.
Bron: https://thehackernews.com/2026/10/uat-11985-uses-fake-event-invites-to.html
