Se ha detectado un kit de phishing de cuentas de Google que utiliza conexiones WebSocket en vivo para guiar a las víctimas a través de pantallas de inicio de sesión falsas. Esta técnica permite a los atacantes evadir la autenticación de múltiples factores (MFA) al retransmitir las solicitudes de autenticación en tiempo real y robar sesiones ya autenticadas, en lugar de intentar vulnerar los controles de seguridad. La campaña está dirigida principalmente a personas vinculadas a organizaciones de investigación.

Un kit de phishing de cuentas de Google utiliza conexiones WebSocket en vivo para guiar a las víctimas a través de pantallas de inicio de sesión falsas, retransmitir solicitudes de autenticación y robar sesiones autenticadas.

La campaña muestra cómo los atacantes pueden saltarse el MFA reenviando los pasos de inicio de sesión en tiempo real, en lugar de romper los controles de seguridad en sí mismos.

La operación tiene como objetivo a personas vinculadas a organizaciones de investigación en Taiwán. Sus correos electrónicos se hacen pasar por invitaciones a eventos académicos y políticos, utilizando detalles reales de los eventos, identidades de remitentes falsas y enlaces de registro ocultos para que un intento de robo de credenciales parezca una correspondencia profesional rutinaria.

Investigadores de Cisco Talos identificaron la campaña, rastreada como UAT-11985, a mediados de 2026 y detallaron su kit de phishing en un informe de investigación de amenazas publicado el 8 de octubre.

Su análisis describe un sistema impulsado por un operador que combina solicitudes HTTP con actualizaciones de WebSocket para imitar el proceso de autenticación de Google.

Kit de Phishing Google AitM

Los correos electrónicos suplantaban al Centro de la Unión Europea en Taiwán, al Instituto de Relaciones Internacionales de la NCCU y al Instituto de Investigación de Taiwán.

Cuando un destinatario verificaba a los supuestos remitentes con esas instituciones, ninguna pudo confirmar que las personas fueran empleados o representantes. La información precisa sobre los eventos ayudó a los atacantes a generar confianza en torno a identidades fabricadas.

Cada mensaje seguía un patrón similar: una apertura temática sobre políticas, elogios personalizados para el destinatario e instrucciones de registro.

Este enfoque atrae a las víctimas hacia el mismo riesgo de robo de sesión visto en los ataques de phishing Tycoon 2FA, donde una página de inicio de sesión convincente se sitúa entre los usuarios y un servicio de autenticación real.

Talos notó señales de redacción asistida por IA, incluyendo patrones de frases repetitivas, cumplidos genéricos y cambios rápidos según los diferentes temas y destinatarios.

Sin embargo, los investigadores no pudieron probar que un modelo de lenguaje extenso escribiera los correos completos. El hallazgo sugiere una probable asistencia de IA, no una generación de contenido totalmente automatizada y confirmada.

Los atacantes también copiaron carteles de eventos legítimos y reemplazaron sus códigos QR por unos maliciosos. Talos sugirió que los carteles impresos podrían exponer a personas adicionales que nunca recibieron el correo original. Por lo tanto, un diseño familiar no ofrecía ninguna garantía de que su código de registro llevara a un destino seguro.

Cómo funciona el relevo de MFA mediante WebSocket

Las víctimas encuentran primero un formulario de Google falso que las redirige a una página de inicio de sesión de Google copiada. A diferencia de un formulario básico de recolección de contraseñas, el kit permite que un operador controle cada etapa de la autenticación.

Técnicas de phishing similares de WebSocket JWR muestran cómo las conexiones persistentes pueden soportar la interacción en vivo, aunque ese marco se centra en información bancaria y de pagos.

El kit separa la carga de datos de las actualizaciones de pantalla. Las solicitudes HTTP POST envían detalles del navegador, identificadores de cuenta, contraseñas y envíos de desafíos a la infraestructura controlada por el atacante.

Una conexión WebSocket persistente lleva instrucciones de vuelta a la página, indicándole qué pantalla de autenticación mostrar a continuación. Esta división mantiene las cargas separadas mientras permite cambios rápidos durante el inicio de sesión.

La primera solicitud, google_login_start, recopila la configuración del idioma, la información del agente de usuario, el tamaño de la pantalla y el estado del dispositivo móvil. Tras crear una sesión, el script abre su conexión WebSocket.

El evento google_input_identifier envía entonces la dirección de correo electrónico o el número de teléfono de la víctima para verificarlo contra el servicio de autenticación real de Google.

Cuando se introduce una contraseña, google_login_check la reenvía junto con el identificador de la cuenta y la información del navegador. Si Google solicita otro paso de verificación, el atacante actualiza la interfaz falsa a través de mensajes WebSocket.

Talos informa que este relevo coordinado permite el robo de tokens de sesión autenticados, lo que permite la toma de control de la cuenta después de que la víctima complete las verificaciones solicitadas.

La página también oculta su JavaScript mediante cadenas Base64 y rotaciones de matrices repetidas. Su interfaz es compatible con chino simplificado, chino tradicional e inglés.

Talos evaluó con confianza moderada que el chino simplificado era el idioma de trabajo principal del desarrollador; ese hallazgo por sí solo no establece la nacionalidad ni el patrocinio estatal.

La distinción importante es que completar un aviso de MFA no garantiza una sesión segura. Como se documentó en el robo de cookies de sesión de Mirage2FA, los atacantes pueden reutilizar el material de autenticación capturado durante un inicio de sesión retransmitido.

Las organizaciones deberían priorizar la autenticación resistente al phishing, verificar las invitaciones inesperadas de forma independiente e investigar el presunto robo de sesiones en lugar de confiar únicamente en los cambios de contraseña.

Fuentes:
https://cybersecuritynews.com/google-aitm-phishing-kit/