攻擊背景與目標群體

與伊朗伊斯蘭革命衛隊(IRGC)有關聯的國家支持黑客組織近期發起魚叉式釣魚攻擊，目標鎖定以色列的記者、知名網絡安全專家以及計算機科學教授。網絡安全公司Check Point在周三發布的報告中指出："在某些攻擊活動中，攻擊者通過電子郵件和WhatsApp消息偽裝成技術高管或研究人員的虛擬助理，接近以色列技術和網絡安全專業人士。"

攻擊組織與手法

該活動被歸因于一個代號為"Educated Manticore"的威脅集群，該組織與APT35（及其子集群APT42）、CALANQUE、Charming Kitten（迷人小貓）、CharmingCypress、Cobalt Illusion、ITG18、Magic Hound、Mint Sandstorm（原Phosphorus）、Newscaster、TA453和Yellow Garuda等多個黑客組織存在關聯。

這個高級持續性威脅(APT)組織長期策劃社會工程攻擊，使用精心設計的誘餌，通過Facebook和LinkedIn等平臺以虛構身份接近目標，誘騙受害者在系統中部署惡意軟件。Check Point觀察到，自2025年6月中旬伊朗-以色列戰爭爆發后，該組織針對以色列個人發起新一波攻擊，通過電子郵件或WhatsApp發送定制化的虛假會議邀請。據信這些消息是使用人工智能(AI)工具制作的。

釣魚攻擊技術細節

該公司標記的一條WhatsApp消息利用了兩國當前的地緣政治緊張局勢，誘使受害者參加會議，聲稱需要他們立即協助開發基于AI的威脅檢測系統，以應對自6月12日以來針對以色列的網絡攻擊激增。

與之前"迷人小貓"攻擊活動類似，初始消息不含任何惡意內容，主要目的是獲取目標信任。攻擊者建立信任后，會分享鏈接將受害者導向偽造的登錄頁面，竊取其Google賬戶憑證。Check Point表示："在發送釣魚鏈接前，攻擊者會詢問受害者的電子郵件地址。該地址隨后會預填在憑證釣魚頁面上，以增加可信度并模仿合法的Google認證流程。"

定制化釣魚工具包

這個定制釣魚工具包不僅能夠竊取憑證，還能獲取雙因素認證(2FA)代碼，有效實施2FA中繼攻擊。該工具包還包含被動鍵盤記錄器，記錄受害者輸入的所有按鍵，即使用戶中途放棄流程也能竊取數據。部分社會工程攻擊還利用Google Sites域名托管虛假Google Meet頁面，其中包含模仿合法會議頁面的圖片。點擊圖片任何位置都會將受害者導向觸發認證流程的釣魚頁面。

持續威脅與組織特點

Check Point警告稱："Educated Manticore繼續構成持續且高影響的威脅，特別是在伊朗-以色列沖突升級階段對以色列個人構成嚴重威脅。該組織運作穩定，特點是激進的魚叉式釣魚、快速建立域名和基礎設施，在被發現后迅速撤離。這種敏捷性使他們在嚴格審查下仍能保持攻擊效力。"