隐形威胁：剖析“网络钓鱼即服务”的打击行动与主动防御策略

数字威胁环境瞬息万变，但某些攻击向量却始终有效。“网络钓鱼”尤其通过“网络钓鱼即服务”（PaaS）工具包实现了普及化演变。这些工具包降低了网络犯罪的门槛，即使是不老练的攻击者也能部署极具说服力且破坏性强的攻击活动。近期执法行动和行业报告强调了这些服务的普遍性，以及对强大、主动防御机制的迫切需求。

发生了什么

近期事件使“网络钓鱼即服务”（PaaS）操作的复杂性受到了高度关注。一个显著的例子涉及一个据称已被捣毁的PaaS工具包。该特定服务与大量收件箱被入侵有关。该工具包采用了一种名为“设备代码钓鱼”的技术，这种方法通过篡改标准的OAuth设备流程，在不直接窃取密码的情况下获得未经授权的访问权限。

另一个重要的PaaS行动因其广泛利用社交媒体平台传播钓鱼链接而受到关注。该工具包利用诱人的优惠吸引受害者。这次行动展示了广泛的影响力，影响了不同地区的用户，并瞄准了零售、银行和电信等行业的主要品牌。这些行动的规模和范围凸显了PaaS工具包带来的持续挑战。

为什么这种模式屡次重演

PaaS工具包的持续成功根植于几个有利于攻击者、同时挑战防御者的因素。首先，这些服务显著降低了网络犯罪分子的技术门槛。现成的工具包，通常可在地下论坛购买或订阅，提供复杂的钓鱼基础设施、模板，甚至受害者管理工具，对操作者的技术专业知识要求极低。

其次，PaaS工具包的适应性使其能够快速整合新的规避技术，并针对各种平台和服务。这种灵活性使它们能够绕过传统的安全控制，并利用不断演变的认证机制，例如某些攻击活动中使用的设备代码流程。新变种和攻击向量的不断出现，使得组织难以维持静态防御。

最后，这些服务通常托管在不同司法管辖区，其全球性特点使执法工作变得复杂。尽管对特定行动的打击至关重要，但网络犯罪生态系统的分散性和弹性意味着新的服务或变种往往会填补空白。建立新基础设施和招募新操作员的便利性促成了这种重复模式。

攻击者的逐步策略

PaaS工具包的运作方法遵循一套独特的多阶段策略：

阶段1：基础设施和工具包采购

攻击者首先获取或开发钓鱼工具包。这些服务要么在地下论坛购买，要么内部开发。该工具包包括旨在模仿合法登录门户的钓鱼页面模板、凭证收集机制，有时甚至包括用于管理攻击活动和已收集数据的后端面板。

阶段2：目标选择和侦察

下一步是识别目标。这可以是从针对大量用户群的广泛、不加区分的攻击活动（如社交媒体折扣），到针对特定组织的更集中攻击活动。侦察可能涉及识别目标常用的服务，例如云生产力套件，以定制钓鱼诱饵。

阶段3：诱饵制作和投放

攻击者制作引人入胜的诱饵来欺骗受害者。对于某些操作，这涉及承诺巨额折扣的社交媒体广告，将用户引向虚假电子商务网站。其他攻击活动则使用了设备代码钓鱼。在这种情况下，受害者被引导到一个恶意网站，该网站不要求输入密码，而是提示他们输入显示在另一个屏幕上的设备代码。攻击者随后利用此代码通过受害者的合法登录页面授权其自己的设备。

阶段4：凭证收集和会话劫持

成功与钓鱼页面交互后，工具包会收集凭证，或者在设备代码钓鱼的情况下，获取认证令牌。通过设备代码钓鱼，攻击者可以访问受害者的会话，如果未正确配置或用户批准了恶意登录，则有效绕过多重身份验证（MFA）。这允许访问电子邮件收件箱等敏感资源。

阶段5：货币化和持久性

最后，收集到的数据被货币化。这可能涉及出售对被入侵账户的访问权限，从被入侵环境中发起进一步攻击，或直接窃取敏感数据。攻击者通常旨在实现持久性，在被检测到之前尽可能长时间地保持访问权限。

现代钓鱼工具包的复杂性不仅在于其技术实力，还在于其利用人类心理和合法认证流程的能力，这使得传统防御措施不足以应对。

防御者错过了什么

在涉及PaaS工具包的事件中，一些防御漏洞通常会变得明显。一个主要挑战是新钓鱼域名和相似网站的快速扩散。传统的黑名单方法难以跟上这些工具包生成的大量新注册、形似域名（typosquats）和Punycode域名的速度。提供持续主动搜寻和快速全球法律打击的服务是对这一挑战的回应，凸显了比许多组织内部能够实现的更快检测和响应的需求。

另一个关键遗漏涉及认证绕过的演变。近期事件表明攻击者如何利用OAuth设备代码流程等合法认证流程。许多组织可能没有充分培训其用户或配置其安全解决方案来检测或阻止不涉及直接密码窃取的攻击。重点往往仍然放在通过虚假登录页面收集凭证，而忽略了利用合法系统行为的更细微的社会工程策略。

此外，攻击的妥协速度和规模常常使事件响应能力不堪重负。当钓鱼攻击活动被检测和修复时，大量账户可能已经被入侵。这表明需要更主动的威胁情报和先发制人的防御态势，而不仅仅是反应性措施。

实用的防御清单

首席信息安全官（CISO）和安全工程师必须实施多层防御策略，以应对不断演变的PaaS工具包威胁。这包括技术和以人为本的方法。

• 增强电子邮件和网络网关安全： 实施高级电子邮件过滤，检测复杂的钓鱼技术，包括URL重写、域名相似性和内容分析。部署具有实时威胁情报源的网络网关，以阻止访问已知的恶意域名和新注册的可疑网站。
• 强化身份验证机制： 对所有关键服务强制执行强大的多重身份验证（MFA）。对于设备代码流程，确保用户经过培训，能够验证请求的合法性以及发起请求的设备。在可行的情况下，考虑使用符合FIDO2标准的通行密钥或硬件安全密钥，因为它们本身对钓鱼攻击具有更强的抵抗力。
• 进行持续的用户意识培训： 定期对员工进行最新钓鱼策略的教育，包括社会工程诱饵、设备代码钓鱼，以及点击可疑链接或在未经核实的网站上输入凭证的危险。强调批判性思维和验证过程。
• 实施强大的品牌保护和下线服务： 与提供持续主动搜寻钓鱼域名、形似域名和流氓移动应用的服务合作。确保这些服务提供快速、具有法律约束力且服务级别协议（SLA）较短的下线服务。
• 部署端点检测与响应 (EDR)： 利用EDR解决方案监控端点上的可疑活动，包括未经授权的访问尝试、异常进程执行和数据外泄，即使发生了初始入侵。
• 利用威胁情报： 将实时威胁情报源整合到安全运营中，以随时了解新兴的PaaS工具包、其战术、技术和程序（TTP），以及危害指标（IoC）。这允许制定主动的阻止和检测规则。
• 定期审计和测试安全控制： 定期审查和测试现有安全控制对已知和新兴钓鱼技术的有效性。这包括在内部模拟钓鱼攻击，以评估用户易受攻击的程度和控制的有效性。

现代攻击性测试如何能发现这些问题

传统的安全审计在识别高级PaaS工具包所利用的细微漏洞方面往往力不从心。这就是现代攻击性测试，特别是带有可执行概念验证（PoC）的自动化攻击性测试，变得不可或缺的地方。我们的平台将威胁情报与自动化攻击性测试相结合，将为组织对高级钓鱼操作等攻击的脆弱性提供关键见解。

对于设备代码钓鱼攻击，自动化攻击性测试将模拟攻击者的手法。它会尝试启动设备代码流程，制作一个针对员工的具有说服力的钓鱼诱饵，然后监控组织的安全控制（电子邮件网关、网络过滤器、EDR）和员工的反应。可执行的PoC将展示攻击者将采取的确切步骤，从最初的社会工程到潜在的会话劫持，而无需实际入侵。

这种类型的测试超越了简单的漏洞扫描。它验证了MFA配置、用户意识培训和事件响应手册对真实世界攻击链的有效性。例如，如果系统能够成功模拟绕过现有控制并可能导致收件箱被入侵的设备代码钓鱼攻击，它将提供一个可执行的PoC。这个PoC清晰地说明了漏洞，让安全团队能够精确地找出防御失败的地方——无论是电子邮件过滤器、用户的警惕性，还是MFA执行中的漏洞。威胁情报组件确保这些模拟基于最新的攻击者TTP，反映当前威胁，如社交媒体诱饵或特定的技术绕过。

接下来需要关注什么

PaaS工具包的演变没有放缓的迹象。防御者必须预测几个关键趋势。首先，预计将更加关注通过日益复杂的社会工程或技术缺陷来绕过高级身份验证机制，包括生物识别MFA和通行密钥。虽然通行密钥提供了强大的抗钓鱼能力，但如果实施不完美，攻击者将寻求新的攻击向量。

其次，PaaS工具包中人工智能和机器学习的整合可能会加速。这可能表现为更动态和个性化的钓鱼诱饵、人工智能生成的深度伪造语音或视频钓鱼，以及更高效地识别高价值目标的自动化侦察。攻击内容的复杂性将显著提高。

最后，执法部门的打击行动与新PaaS操作的出现之间的猫鼠游戏将继续。组织必须认识到，尽管打击行动会扰乱个别服务，但其底层生态系统具有弹性。这要求转向一种主动的、由威胁情报驱动的防御态势，不断适应新兴的TTP，而不是仅仅对过去的事件做出反应。重点必须放在理解攻击者的思维方式，并根据不断演变的策略手册测试防御措施。