TA419 napada stručnjake za AI politiku lažnim Microsoft prijavama
Kineski akter TA419 sprovodi kampanje krađe pristupnih podataka protiv stručnjaka za politiku veštačke inteligencije u američkim istraživačkim institutima, univerzitetima i pravnim organizacijama. Proofpoint navodi da je grupa najmanje od aprila 2025. ciljala institucije u SAD i Japanu, dok je u februaru 2026. za metu izdvojila eksperta iz američkog instituta koristeći lažni zahtev za povratnu informaciju o vojnoj integraciji proizvoda Claude.
Poruke su imitirale ugledne ekonomiste, donosioce politika za AI i zaposlenog kompanije Anthropic. Oko jula 2026. TA419 je, u drugim kampanjama usmerenim na američke stručnjake za AI politiku, oponašao više osoba, uključujući nekadašnjeg člana rukovodstva Kancelarije Bele kuće za nauku i tehnologiju.
Napad se oslanja na poverenje i uspešnu prijavu
Početna poruka izgleda bezazleno: poziv za razgovor ili stručni komentar treba da uspostavi poverenje. Tek kada primalac odgovori, napadač šalje skraćeni URL. Veza pokreće višefazni lanac preusmeravanja i, nakon provere Cloudflare Turnstile, otvara stranicu za krađu podataka koja imitira OneDrive prijavu.
TA419 koristi pristup adversary-in-the-middle, odnosno AitM, za presretanje procesa prijavljivanja. Žrtva unosi podatke u lažni interfejs, dok posrednički sistem u pozadini prosleđuje prijavu stvarnoj Microsoft infrastrukturi. Zbog toga prijavljivanje može da uspe bez očiglednog upozorenja, a napadač može neprimetno da preuzme sesione kolačiće.
Frameless BitB otežava vizuelno prepoznavanje prevare
Lažna stranica koristi Frameless BitB, varijantu napada browser-in-the-browser. Tehnika prikazuje lažni prozor ili prijavu pouzdanog servisa unutar legitimne sesije pregledača, ali bez HTML elementa iframe. Efekat se postiže ubacivanjem skripti i HTML sadržaja uz originalni sadržaj, a izgled prozora grade HTML, CSS i JavaScript.
Proofpoint je saopštio da je TA419 proširio alat otvorenog koda prilagođenim modulom za telemetriju i automatizaciju. On prati tok Microsoft prijave, prikuplja kredencijale preko AitM posrednika i prosleđuje ih stvarnoj infrastrukturi. Takav tok umanjuje šansu da korisnik samo na osnovu uspešne prijave prepozna kompromitaciju.
Kontrola identiteta postaje ključna odbrana
Za organizacije je prioritet uvođenje metoda autentifikacije otpornih na phishing, kao što su passkey ključevi. Za zaposlene koji primaju stručne pozive, naročito u oblastima odbrane, nacionalne bezbednosti, energetike, međunarodnih odnosa, spoljne politike i AI regulative, važno je da provere identitet pošiljaoca pre otvaranja naknadno dostavljene veze.
TA419 ne menja ciljnu oblast, već interesovanje za odbranu, bezbednost i spoljnu politiku širi na AI politiku. Praktičan poslovni zaključak je da uspešna Microsoft prijava ne potvrđuje bezbednost procesa: zaštitu treba graditi kombinovanjem provere neočekivanih upita i autentifikacije koja ne zavisi od lozinke.