無形威脅：剖析釣魚即服務（PaaS）行動取締及主動防禦策略

數碼威脅環境瞬息萬變，然而某些攻擊載體卻頑固地持續有效。尤其是網絡釣魚，透過釣魚即服務（PaaS）工具包實現了普及化的演進。這些工具包降低了網絡犯罪的門檻，即使是不太複雜的行為者也能夠部署極具說服力且具破壞性的攻擊活動。近期執法行動和行業報告強調了這些服務的普遍性，以及對健全、主動防禦機制至關重要的需求。

發生了什麼事

近期事件使釣魚即服務（PaaS）行動的複雜性受到高度關注。其中一個顯著例子涉及一個據報被瓦解的 PaaS 工具包。該特定服務與大量收件箱被入侵有關。這個工具包採用了一種稱為設備代碼釣魚的技術，這是一種透過顛覆標準 OAuth 設備流程，在不直接竊取密碼的情況下獲得未經授權存取的方法。

另一個重要的 PaaS 行動被發現廣泛利用社交媒體平台傳播釣魚連結。這個工具包利用誘人的優惠來引誘受害者。這次行動展示了廣泛的影響力，影響了不同地區的用戶，並針對零售、銀行和電訊等行業的主要品牌。這些行動的規模和影響力突顯了 PaaS 工具包所帶來的持續挑戰。

為何這種模式不斷重演

PaaS 工具包的持續成功，根源於多個有利於攻擊者同時挑戰防禦者的因素。首先，這些服務大大降低了網絡罪犯的技術門檻。現成的工具包，通常可供購買或訂閱，提供複雜的釣魚基礎設施、範本，甚至受害者管理工具，操作者只需極少的技術專業知識。

其次，PaaS 工具包的適應性使其能夠快速整合新的規避技術，並針對廣泛的平台和服務。這種靈活性使它們能夠繞過傳統安全控制，並利用不斷演進的認證機制，例如某些攻擊活動中使用的設備代碼流程。新變種和攻擊載體的持續出現，使組織難以維持靜態防禦。

最後，這些服務的全球性質，通常託管在不同司法管轄區，使執法部門的工作複雜化。雖然對特定行動的取締至關重要，但網絡犯罪生態系統的分散性和彈性意味著新的服務或變種往往會出現以填補空白。設置新基礎設施和招募新操作者的便利性，促成了這種重複模式。

攻擊者的逐步策略

PaaS 工具包的運作方法遵循一套獨特的多階段策略：

階段 1：基礎設施和工具包採購

攻擊者首先獲取或開發釣魚工具包。服務通常在地下論壇購買或內部開發。這個工具包包括旨在模仿合法登錄入口網站的釣魚頁面範本、憑證收集機制，有時甚至包括用於管理攻擊活動和收集數據的後台面板。

階段 2：目標選擇和偵察

下一步涉及識別目標。這可以是針對大量用戶基礎的廣泛、不加區分的攻擊活動，如社交媒體折扣所示，也可以是針對特定組織的更具針對性的攻擊活動。偵察可能涉及識別目標使用的常見服務，例如雲端生產力套件，以定制釣魚誘餌。

階段 3：誘餌製作和傳遞

攻擊者製作引人注目的誘餌以欺騙受害者。對於某些行動，這涉及社交媒體廣告承諾巨額折扣，引導用戶到虛假電子商務網站。其他攻擊活動則使用了設備代碼釣魚。在這種情況下，受害者被引導到一個惡意網站，該網站不要求輸入密碼，而是提示他們輸入顯示在另一個屏幕上的設備代碼。然後攻擊者使用此代碼，透過受害者的合法登錄頁面授權自己的設備。

階段 4：憑證收集和會話劫持

成功與釣魚頁面互動後，工具包會收集憑證，或者在設備代碼釣魚的情況下，獲取認證令牌。透過設備代碼釣魚，攻擊者可以存取受害者的會話，如果多因素認證（MFA）配置不當或用戶批准惡意登錄，則可有效繞過 MFA。這允許存取敏感資源，如電子郵件收件箱。

階段 5：變現和持久性

最後，收集到的數據被變現。這可能涉及出售被入侵帳戶的存取權、從被入侵環境中發動進一步攻擊，或直接洩露敏感數據。攻擊者通常旨在實現持久性，在被發現之前盡可能長時間地保持存取權。

現代釣魚工具包的複雜性不僅在於其技術實力，還在於其利用人類心理和合法認證流程的能力，這使得傳統防禦措施不足以應對。

防禦者錯過了什麼

在涉及 PaaS 工具包的事件中，幾個防禦漏洞往往會變得明顯。一個主要挑戰是新釣魚域名和相似網站的迅速擴散。傳統的黑名單方法難以跟上這些工具包產生的大量新註冊、錯別字域名和 Punycode 域名的速度。提供持續主動偵測和快速全球法律取締服務是應對這一挑戰的措施，突顯了比許多組織內部能實現的更快檢測和響應的需求。

另一個關鍵的失誤涉及認證繞過不斷演進的性質。近期事件表明，攻擊者如何將合法的認證流程（如 OAuth 設備代碼流程）武器化。許多組織可能沒有充分培訓其用戶或配置其安全解決方案來檢測或防止不涉及直接密碼竊取的攻擊。焦點往往停留在透過虛假登錄頁面收集憑證，而忽略了利用合法系統行為的更微妙的社會工程學策略。

此外，攻擊的妥協速度和規模往往會壓垮事件響應能力。等到釣魚攻擊活動被檢測和修復時，可能已經有大量帳戶被入侵。這表明需要更主動的威脅情報和預防性防禦態勢，而不僅僅是反應性措施。

實用的防禦清單

資訊安全總監（CISO）和安全工程師必須實施多層次防禦策略，以應對 PaaS 工具包不斷演進的威脅。這包括技術和以人為本的方法。

• 強化電子郵件和網絡閘道安全： 實施進階電子郵件過濾，檢測複雜的釣魚技術，包括 URL 重寫、域名相似性檢查和內容分析。部署具有實時威脅情報訂閱的網絡閘道，以阻止存取已知惡意域名和新註冊的可疑網站。
• 加強認證機制： 在所有關鍵服務上強制執行強大的多因素認證（MFA）。對於設備代碼流程，確保用戶經過培訓，核實請求的合法性以及發起請求的設備。在可行情況下，考慮使用符合 FIDO2 標準的通行密鑰（passkeys）或硬件安全密鑰，因為它們本身對釣魚具有更強的抵抗力。
• 持續進行用戶意識培訓： 定期對員工進行最新釣魚策略的教育，包括社會工程學誘餌、設備代碼釣魚，以及點擊可疑連結或在未經核實網站上輸入憑證的危險。強調批判性思維和驗證流程。
• 實施強大的品牌保護和取締服務： 與提供持續主動偵測釣魚域名、錯別字域名和惡意流動應用程式的服務合作。確保這些服務提供快速、具有法律約束力且符合短服務級別協議（SLA）的取締措施。
• 部署端點檢測和響應（EDR）： 利用 EDR 解決方案監控端點上的可疑活動，包括未經授權的存取嘗試、異常進程執行和數據外洩，即使發生了初步入侵。
• 利用威脅情報： 將實時威脅情報訂閱整合到安全操作中，以了解新興的 PaaS 工具包、其戰術、技術和程序（TTPs）以及入侵指標（IoCs）。這有助於主動設定阻擋和檢測規則。
• 定期審核和測試安全控制： 定期審查和測試現有安全控制措施對已知和新興釣魚技術的有效性。這包括在內部模擬釣魚攻擊，以評估用戶的易感性和控制措施的有效性。

現代攻擊性測試如何發現這些問題

傳統的安全審計往往未能識別進階 PaaS 工具包所利用的細微漏洞。這正是現代攻擊性測試，特別是具有可執行概念驗證（PoCs）的自主攻擊性測試變得不可或缺的地方。我們的平台結合威脅情報和自主攻擊性測試，可以為組織對先進釣魚行動等攻擊的脆弱性提供關鍵見解。

對於設備代碼釣魚攻擊，自主攻擊性測試將模擬攻擊者的手法。它會嘗試啟動設備代碼流程，製作一個針對員工的引人注目的釣魚誘餌，然後監控組織的安全控制（電子郵件閘道、網絡過濾器、EDR）和員工如何響應。可執行的 PoCs 將展示攻擊者將採取的確切步驟，從最初的社會工程到潛在的會話劫持，而不會實際造成入侵。

這種類型的測試超越了簡單的漏洞掃描。它驗證了 MFA 配置、用戶意識培訓和事件響應手冊在真實世界攻擊鏈中的有效性。例如，如果系統能夠成功模擬設備代碼釣魚攻擊，繞過現有控制並可能導致收件箱被入侵，它會提供一個可執行的 PoC。這個 PoC 清晰地說明了漏洞，讓安全團隊能夠精確地找出防禦失敗的地方—無論是電子郵件過濾器、用戶的警惕性，還是 MFA 執行中的漏洞。威脅情報組件確保這些模擬基於最新的攻擊者 TTPs，反映當前的威脅，如社交媒體誘餌或特定的技術繞過。

接下來要關注什麼

PaaS 工具包的演變沒有放緩的跡象。防禦者必須預測幾個關鍵趨勢。首先，預計將越來越多地關注透過日益複雜的社會工程或技術缺陷來繞過進階認證機制，包括生物識別 MFA 和通行密鑰。儘管通行密鑰提供了強大的防釣魚能力，但如果實施不完美，攻擊者將尋求新的途徑。

其次，人工智能和機器學習整合到 PaaS 工具包中的速度可能會加快。這可能體現在更動態和個性化的釣魚誘餌、人工智能生成的深度偽造語音或視頻釣魚，以及自動化偵察，以更高效地識別高價值目標。攻擊內容的複雜性將顯著提高。

最後，執法部門的取締行動與新 PaaS 行動的出現之間的貓捉老鼠遊戲將會持續。組織必須認識到，儘管取締行動會破壞個別服務，但底層生態系統具有彈性。這需要轉向一種主動的、由威脅情報驅動的防禦態勢，不斷適應新興的 TTPs，而不是僅僅對過去的事件作出反應。重點必須放在理解攻擊者的心態，並根據這些不斷演變的策略來測試防禦措施。