Im Rahmen der nun entdeckten Cyberkampagne geben sich die Cyberkriminellen von TA453 als britischer Wissenschaftler der School of Oriental and African Studies (SOAS) an der University of London aus und kontaktieren unter diesem Deckmantel Einzelpersonen, um an sensible Informationen zu gelangen. Nach Erkenntnissen von Proofpoint dauern die Angriffe seit mindestens Januar 2021 an.

Für ihre Attacken kompromittierten die Hacker zunächst die Webseite einer hoch angesehenen akademischen Einrichtung, um personalisierte Phishing-Seiten zur Sammlung von Anmeldedaten aufzubauen. Im Anschluss an eine – in der Anfangsphase der Kampagne – längere E-Mail-Konversationen zwischen den Cyberkriminellen und ihren potenziellen Opfern, um Vertrauen aufzubauen, wurden diese Phishing-Seiten, getarnt als Registrierungslinks, an die Gesprächspartner verschickt. Zu den von Proofpoint identifizierten Zielen gehörten Nah-Ost-Experten in Think Tanks, hochkarätige Professoren bekannter akademischer Einrichtungen sowie Journalisten, die sich bei ihrer Berichterstattung auf den Nahen Osten konzentrieren.

Bei mindestens einer Zielperson der Cyberkampagne zielten die Hintermänner auch auf die persönlichen E-Mail-Konten des Opfers ab. Ferner änderte TA453 im späteren Verlauf der Kampagne seine Taktik und begann den Registrierungslink bereits zu einem früheren Zeitpunkt der Konversation zu verschicken, ohne dass sie zuvor auf eine langwierige Kontaktanbahnung setzten.