18 июня 2025 · Google Threat Intelligence Group

Фишинг ASP: как UNC6293 обходил 2FA через «пароли приложений»

GTIG описала кампанию подозреваемого российского кластера UNC6293 против видных академиков и критиков России: жертв убеждали создать application-specific password и передать код, открывая постоянный доступ к почте.

Событие

Что произошло

18 июня 2025 года GTIG (Gabby Roncone, Wesley Shields) опубликовала разбор кампании, наблюдавшейся как минимум с апреля по начало июня 2025 года. Актор выдавал себя за сотрудников Госдепартамента США, выстраивал переписку и затем присылал безобидный PDF с инструкциями «безопасного доступа» к фейковой облачной среде State Department.

Цель инструкций — заставить жертву на сайте account.google.com создать app password (ASP) и отправить 16-символьный код. ASP предназначены для приложений без 2SV; после получения кода атакующие подключали почтовый клиент и читали переписку. Кластер оценён как likely Russia state-sponsored; с низкой уверенностью связан с APT29 / ICECAP. Пострадавшие Gmail-аккаунты Google перезащитила.

Кампании

Две волны и обновление в июле

В первой кампании предлагаемое имя ASP — «ms.state.gov»; во второй — темы, связанные с Украиной и Microsoft. Инфраструктура для входа в аккаунты опиралась на residential proxy и VPS; в ряде случаев одни и те же узлы связывали обе волны. Первичные письма сами по себе не были «вредоносными вложениями»: они приглашали к диалогу и подключали поддельные адреса State Department в копию для легитимности.

Обновление от 10 июля 2025: UNC6293 продолжил ASP-фишинг с другими именами приложений, пытался заново выйти на уже контактировавших жертв и параллельно уговаривал привязать устройство атакующего к Microsoft 365 через device code flow. Появились календарные приглашения с ссылками на Zoom/Meet и Microsoft OAuth на контролируемое приложение с коротким редиректом через actor-domain.

Кого затронуло

Целевая аудитория и риск

В фокусе — видные академики, критики России и журналисты. Публично обсуждался, в частности, кейс британского исследователя Keir Giles с поддельными заголовками писем «от State Department». Такие цели часто используют личную почту для чувствительной переписки, поэтому компрометация ASP даёт долгоживущий доступ без повторного «ломания» 2FA.

Атака бьёт не по уязвимости Google как таковой, а по доверию к процедуре: пользователь сам создаёт секрет и добровольно его передаёт. Поэтому классические антивирусные сигнатуры на вложении почти бесполезны.

Ответ защитника

Что делать high-risk пользователям

GTIG подчёркивает: ASP можно создавать и отзывать; при создании Google шлёт уведомления на Gmail, recovery и устройства. Не следует создавать ASP по чужой инструкции и никогда не передавать код третьим лицам. Для лиц с высоким риском целевых атак рекомендуют Advanced Protection Program — в APP создание ASP недоступно из‑за усиленных требований.

Организациям: обучать VIP и исследователей распознавать «официальные» просьбы настроить app password или device code; проверять приглашения на встречи вне переписки; мониторить необычные клиентские сессии и отзыв ASP при любом подозрении. Терпение и креативность UNC6293 — аргумент в пользу усиленных режимов защиты аккаунта, а не только разового security awareness.

# user / VIP defensive checklist (no lure steps)
policy: never_create_app_password_on_third_party_request
policy: never_share_asp_or_device_code_with_anyone
if_suspected_compromise:
  - revoke_all_app_passwords_immediately
  - review_recent_mail_client_sessions
  - enable_or_enroll_advanced_protection_if_eligible
notify_security: yes

Итог

Вывод

Кампания UNC6293 показывает, как легитимные механизмы аутентификации превращаются в канал шпионажа при сильной социальной инженерии. Для академического и журналистского сообщества критичны APP, отказ от ASP и скепсис к «дипломатическим» просьбам настроить доступ вручную.

Защитникам стоит готовить playbook именно под abuse of auth flows, а не только под malware-вложения: детект и IR здесь крутятся вокруг сессий, токенов и пользовательского поведения.

Оригинал статьи