Šta se desilo

Proofpoint je 1. oktobra 2026. opisao julske phishing kampanje grupe TA419 protiv stručnjaka za AI politiku u SAD. Cisco Talos je u zasebnom istraživanju od 30. septembra opisao UAT-11587 i backdoor Antino. Izvori ne potvrđuju da su ove dve aktivnosti koordinisane. Povezanost sa Kinom predstavlja procenu istraživača.

Koga pogađa

TA419 je ciljao stručnjake u američkim analitičkim centrima, univerzitetima i pravnim organizacijama, a ne nužno same AI kompanije. Talos je do jula 2026. identifikovao oko 350 kompromitovanih krajnjih uređaja u osam zemalja, uz najmanje 10 potvrđeno pogođenih institucionalnih okruženja, pet verovatnih i jednu dodatnu planiranu metu. To nisu 16 potvrđenih kompromitacija. Talos navodi Tajvan, Indiju, Filipine, Kambodžu, Pakistan, Tajland, Mjanmar i Siriju.

Kako se zaštititi

  • Neočekivane pozive za stručnu saradnju proverite nezavisnim kanalom, preko ranije poznatog kontakta.
  • Za važne naloge uvedite autentifikaciju otpornu na phishing, poput passkey ključeva. Obična jednokratna šifra nije jednaka takvoj zaštiti.
  • Servisu pristupajte preko sačuvanog obeleživača u browser-u, umesto prijavljivanja kroz link iz neočekivane poruke.
  • U organizaciji ograničite pokretanje neodobrenih skripti i pratite sumnjive procese, prijavljivanja i prenose datoteka.
  • Posle sumnjivog prijavljivanja uključite IT tim radi opoziva sesija, promene izloženih kredencijala i pregleda aktivnosti naloga.

Tehnički detalji

TA419 započinje bezazlenom prepiskom i lažnim predstavljanjem, pa šalje link ka lažnoj OneDrive prijavi. Koristi AitM posredovanje i lažni prozor u browser-u, zasnovan na alatu Frameless BitB, za napad na Microsoft 365/Entra ID naloge.

Antino je zaseban Windows backdoor pisan u Rust-u. Talos je pratio aktivnost od septembra 2025. do jula 2026. Malver omogućava izvršavanje komandi i prenos datoteka, a za komunikaciju koristi Microsoft Graph, Outlook i OneDrive. Ne treba ga pripisivati opisanoj TA419 kampanji za krađu kredencijala.

Zašto je važno

Uverljiv poslovni kontekst i poznat cloud servis nisu dovoljni za procenu bezbednosti poruke. Ovi nalazi mogu pomoći lokalnim timovima u pripremi zaštite, ali ne potvrđuju da su institucije na Balkanu bile mete ovih kampanja.

Preporuka Sajber Radara

Prioritet dajte proveri identiteta pošiljaoca, zaštiti naloga i nadzoru krajnjih uređaja. Razlikujte pokušaj phishinga, kompromitovan nalog i zaražen računar, jer svaki zahteva drugačiji postupak odgovora.