Die aktuelle Kampagne zielt vor allem auf Werbeunternehmen. Die gefälschten Websites versprechen KI-gestützte Hilfe bei der Erstellung von Werbekampagnen, der Kundensuche oder der Budget-Verwaltung. Um die angeblichen Funktionen nutzen zu können, sollen die Opfer ihren Werbe-Account mit dem KI-Dienst verbinden. Beim Login öffnet sich ein nachgebautes Browserfenster innerhalb der Website, das selbst die Adresszeile mit legitimen URLs wie accounts.google.com vortäuscht. Tatsächlich befindet sich der Nutzer aber weiterhin auf der Phishing-Domain. Das Phishing-Kit passt sich dabei an verschiedene Betriebssysteme an und imitiert Browser-Elemente wie Safaris URL-Leiste oder den Dark Mode von Chrome.

Besonders gefährlich: Nach der ersten Kompromittierung übernimmt ein menschlicher Angreifer die Kontrolle. Opfer werden gezielt nach Passwörtern, SMS-Codes, Authenticator-Codes, Okta-Bestätigungen oder QR-Codes gefragt. Die Plattform unterstützt Workflows für Google, Meta, TikTok und Okta. Eingereichte Codes können abgelehnt werden, bis der gewünschte Zugriff erreicht ist.

Die Kampagne zeigt, wie schnell die Kriminellen agieren: Nur acht Tage nach dem Start von Metas KI-Agent Muse am 8. September war bereits eine überzeugend gefälschte Website für "Muse Ads" online. Sicherheitsforscher Oleg Zaytsev erklärte, dass die Angreifer bereits über die technische Plattform verfügten und diese in wenigen Minuten für neue Marken anpassen können. Über einen falsch konfigurierten öffentlichen Programmcode konnten die Forscher die Aktivitäten bis mindestens März zurückverfolgen. In einem zugehörigen Telegram-Kanal wurden Hunderte übermittelte Opferdaten dokumentiert.