根據 Google 威脅情報小組（GTIG）以及 Microsoft 與 ReliaQuest 的研究報告，近期發現多個疑似與俄羅斯關聯的網路間諜威脅群組，正採取高度精準且適應性強的社交工程攻擊。這些攻擊者主要針對歐洲與美國的學術界、航太防衛工業、政府機關及智庫人員。其中，被追蹤為 UNC6293、UNC7005 與 UNC5976 的三個群組，展現了對合法認證流程的極高濫用技巧，旨在繞過傳統安全防禦以劫持目標帳號。
背景與攻擊目標
這些威脅群組的運作模式並非大規模地撒網，而是採取極小規模、高精準度的目標選擇。例如 UNC6293 經常偽裝成國務院官員，每次攻擊目標僅限於五人以下，並利用外交主題或即將舉行的會議作為誘餌。其背後的組織被認為與 Ice Relic（亦稱為 APT29、Cozy Bear 或 Midnight Blizzard）有關，這是一個長期針對西方政府與外交機構的知名國家級駭客組織。
核心認證濫用技術
攻擊者不再僅僅依賴傳統的假登入頁面，而是濫用合法的認證協議來獲取權限。其中最關鍵的技術是 OAuth 釣魚。OAuth（Open Authorization）是一種開放標準，允許第三方應用程式在不獲知使用者密碼的情況下，透過權杖（Token）獲取對特定資源的訪問權限。
UNC5976 與 UNC7005 的操作流程通常是先註冊看似合法的網域（例如偽裝成檔案分享服務或芬蘭作戰中心 FOC），引導受害者點擊「使用 Google 登入」按鈕。由於該按鈕會將使用者重新導向至真正的 Google 認證頁面，受害者在完成合法登入後，會被導向至攻擊者控制的未經驗證雲端專案。此過程會讓攻擊者能直接擷取認證權杖，從而完全接管受害者的帳號，而無需知道其密碼。
此外，UNC7005 還開發了一套針對 WhatsApp 的劫持流程。他們利用 WhatsApp 的裝置連結（Device Linking）功能，誘導受害者為了加入安全通話或共享文件，而將其帳號連結至攻擊者的裝置。一旦連結成功，攻擊者不僅能監控通訊，還能執行 JavaScript 腳本來記錄受害者的音訊與視訊，並將資料傳回控制伺服器。
多維度攻擊路徑與惡意軟體
除了認證劫持，這些群組還結合了傳統的惡意軟體分發。UNC7005 被發現使用名為 HEADRUSH 的惡意 Excel 插件來傳遞 HTA 應用程式，主要針對烏克蘭的航太與影像公司。同時，他們也部署了 Vidar 和 Atomic 等通用型資訊竊取軟體（Infostealer），透過偽裝成烏克蘭相關峰會的應用程式，竊取 Windows 與 macOS 系統中的敏感資料。
另一項名為 CaptiveCrunch 的行動則更為隱蔽。攻擊者針對酒店、機場等公共場所的 Captive Portal（強制認證 Wi-Fi 門戶）進行攻擊。他們透過獲取 Wi-Fi 閘道的管理權限並實施 DNS 污染（DNS Poisoning，將正確的網域名稱解析至錯誤的 IP 位址），將受害者的流量重新導向至偽造的 Microsoft 登入頁面。在此過程中，他們分發了兩種惡意程式：一種是 Go 語言編寫的 CornFlake RAT（遠端控制木馬），用於監控系統與竊取檔案；另一種是疑似由大型語言模型（LLM）生成的 PowerShell 腳本 ChocoShell，專門突破 Chrome 的應用程式綁定加密（App-Bound Encryption, ABE）來竊取瀏覽器 Cookie 與 SSO 權杖。
影響、實務意義與限制
這類攻擊最危險之處在於其「合法性」。由於攻擊者利用的是 Google 或 Microsoft 提供的正規 OAuth 流程與裝置連結功能，傳統的端點防護或單純的密碼更改往往無法有效阻斷已獲權杖的存取。當攻擊者持有有效的認證權杖時，他們的行為在系統日誌中看起來就像是合法的使用者登入，這大幅增加了偵測的難度。
從實務角度看，這種攻擊模式顯示出國家級駭客正將重心從「漏洞挖掘」轉移到「認證流程濫用」與「供應鏈信任」上。例如 Lumen Black Lotus Labs 的分析指出，CaptiveCrunch 可能先入侵了託管服務提供商（MSP），再利用 MSP 與客戶之間的信任關係，在客戶出差的酒店 Wi-Fi 中埋伏。
然而，這類攻擊也存在限制。由於其高度依賴社交工程與特定情境（如特定的會議、特定的 Wi-Fi 環境），其擴散速度較慢，且容易在被安全研究人員識別特徵後被大規模封鎖。例如 Google 已封鎖了 UNC5976 相關的大量基礎設施，迫使攻擊者必須不斷更換服務提供商。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。