Okno logowania nie było oknem. Narysowała je strona.

Sprawdź pasek adresu. To rada, którą wszyscy powtarzają przy phishingu, a w kampanii opublikowanej przez Proofpoint 1 października nie pomogłaby wcale, bo okno proszące o hasło w ogóle nie było oknem. Było jego obrazkiem, narysowanym na stronie jak każda inna ramka.

Grupa nazywa się TA419, uznawana za powiązaną z Chinami, a celem byli badacze polityki wobec sztucznej inteligencji w amerykańskich think tankach, na uczelniach i w kancelariach prawnych. Kontakt zaczął się 8 lipca mailem bez linku i bez załącznika, zwykłą uprzejmą notką od kogoś, kto wyglądał na Lynne Parker, do niedawna ważną postać Biura Polityki Naukowej i Technologicznej Białego Domu, z zaproszeniem do komitetu doradczego. Dopiero po odpowiedzi przychodził skrócony link. Przechodził przez kontrolę Cloudflare, lądował na stronie udającej folder OneDrive z przekonującymi dokumentami i otwierał coś, co wyglądało na unoszące się nad nią okno logowania Microsoftu. Narzędzie, które maluje takie okno, jest otwartoźródłowe i nazywa się Frameless BitB, czyli przeglądarka w przeglądarce.

Za fałszywym oknem stał pośrednik. Wszystko, co wpisano, szło dalej do prawdziwych serwerów Microsoftu, więc hasło zostało przyjęte, pytanie o drugi składnik zostało przyjęte, a logowanie naprawdę się powiodło. Napastnik zatrzymywał ciasteczko sesji, czyli tę część, która trzyma was zalogowanych potem, już bez hasła. Własny skrypt w zestawie zaznaczał za ofiarę "Nie wylogowuj mnie" i wysyłał kod jednorazowy w chwili, gdy ten został uznany za poprawny.

Jeden nawyk wygrywa z tym wszystkim: nigdy nie logujcie się z linku, który ktoś wam przysłał. Otwórzcie nową kartę, wpiszcie adres sami, a okno, które dostaniecie, należy do przeglądarki, a nie do strony. Passkeys też pomagają, bo po prostu odmawiają działania na niewłaściwej domenie. Resztę podstaw, szyfrowanie, Windows Update, to, co faktycznie jest włączone, ocena kondycji w Tendvane pokazuje na jednym ekranie.