"En julio de 2026, TA419 suplantó a múltiples personas, incluido un ex miembro del equipo de liderazgo de la Oficina de Política Científica y Tecnológica de la Casa Blanca, en campañas de phishing de credenciales dirigidas a expertos en políticas de IA en los EE. UU.", dijo el analista de inteligencia de amenazas de Proofpoint, Mark Kelly, en un informe del jueves aquí.

A partir del 8 de julio, TA419 envió correos electrónicos de phishing suplantando a Lynne Edwards Parker, la ex directora adjunta principal de la Oficina de Política Científica y Tecnológica de la Casa Blanca, y luego a Heidi Crebo-Rediker, una destacada economista y experta en política exterior, a aún más expertos estadounidenses en políticas de IA. Los correos de los presuntos espías invitaban a sus objetivos a unirse a un comité asesor de política de IA falso o a contribuir a un informe del comité de relaciones exteriores del Senado sobre controles de exportación de IA y cadenas de suministro.

Si el experto en IA estadounidense respondía, el equipo vinculado a Pekín respondía con una URL acortada que prometía compartir detalles adicionales, pero que en realidad apuntaba a un dominio controlado por el atacante. Esta página realiza una verificación de Cloudflare Turnstile detrás de una pantalla de carga de OneDrive falsa y luego redirige a la víctima a una página de phishing de credenciales de atacante en el medio (AitM) que roba la información de inicio de sesión de la cuenta en la nube de la víctima.

Las campañas de julio de 2026 utilizaron driftshare[.]co como dominio de primera etapa y globalfileshareplatform[.]com como dominio de segunda etapa.

En febrero —mientras funcionarios militares de EE. UU. presionaban a Anthropic para que eliminara las salvaguardas de Claude— los espías chinos suplantaron a un alto empleado de Anthropic para hacer phishing a un analista de políticas de IA en un centro de pensamiento de EE. UU. Este correo electrónico utilizaba la línea de asunto: "Solicitud de comentarios sobre la integración militar de Claude".

La cadena de phishing de TA419 se dirige a Microsoft 365/Entra ID a través de la aplicación de primera parte OfficeHome. Está construida sobre el código abierto Frameless BitB, que contiene una superposición de Navegador en el Navegador (BitB), un phishlet de Evilginx para interceptar nombres de usuario, contraseñas y cookies de sesión para Microsoft 365, y reglas de sustitución del lado del servidor que inyectan el kit en páginas proxeadas.

TA419 utiliza típicamente la red de entrega de contenido de Cloudflare para ocultar la dirección IP de alojamiento del backend de sus dominios, y sus dominios de phishing de credenciales suelen estar tematizados en torno a sitios de intercambio de archivos y servicios en la nube, como msfile[.]online y onecloudfilesync[.]com.

También suplanta a organizaciones específicas, incluyendo la Asociación de Intercambio Japón-Taiwán (tw-koryu[.]org), The Heritage Foundation (heritiages[.]org y heritiage[.]org) y el sitio web oficial del Ministro de Defensa japonés Shinjirō Koizumi (shinjirou[.]info).

En total, el equipo utiliza docenas de dominios de phishing y de remitentes suplantados, y direcciones de correo electrónico falsas. Proofpoint incluye todos los que descubrió en 2026, además de la cronología de cuándo fueron registrados o vistos por primera vez.

TA419 y otros equipos alineados con Pekín probablemente seguirán dirigiéndose a expertos en IA y otras políticas que trabajen en tecnologías de interés para el gobierno chino, según los cazadores de amenazas. "Las organizaciones en el alcance de la actividad de TA419 deberían considerar la autenticación resistente al phishing y vinculada al origen, como las passkeys", recomiendan.

Fuente:
TheRegister