周三下午，一個(gè)市場(chǎng)部主管點(diǎn)開(kāi)了合作方發(fā)來(lái)的審批郵件，附件里是一張?jiān)倨胀ú贿^(guò)的截圖紙片。她沒(méi)有輸入密碼，沒(méi)有觸發(fā)登錄異常警告，但就在她對(duì)著屏幕輸入一串六位驗(yàn)證碼后的第七秒，攻擊者已經(jīng)拿到了她整個(gè)郵箱的訪問(wèn)權(quán)限。

這不是傳統(tǒng)意義上的"密碼失竊"。安全研究機(jī)構(gòu)ReversingLabs最近記錄到一起針對(duì)微軟365用戶的持續(xù)性釣魚(yú)活動(dòng)，攻擊者完全沒(méi)有收集受害者的賬戶密碼，而是誘導(dǎo)用戶完成了真實(shí)的微軟設(shè)備授權(quán)流程。你說(shuō)這是騙局？微軟的服務(wù)器并不這么認(rèn)為——每一步登錄驗(yàn)證都是合法合規(guī)的。

這套手法的核心被稱(chēng)作"設(shè)備代碼釣魚(yú)"（Device Code phishing）。在正常場(chǎng)景下，微軟的設(shè)備代碼流程是為那些不方便輸入賬號(hào)密碼的設(shè)備準(zhǔn)備的，比如智能電視、命令行工具或者公用終端。用戶只需要在另一臺(tái)可信設(shè)備上打開(kāi)登錄頁(yè)面，輸入屏幕上顯示的短碼，就能授權(quán)當(dāng)前設(shè)備訪問(wèn)自己的賬戶。這個(gè)設(shè)計(jì)本意是降低身份驗(yàn)證的摩擦，現(xiàn)在卻被攻擊者當(dāng)成了看不見(jiàn)的繩索，直接牽走了整個(gè)賬戶的控制權(quán)。

假審批，真授權(quán)

攻擊的起點(diǎn)是一封看起來(lái)像供應(yīng)商審批請(qǐng)求的商業(yè)郵件。附件是一張圖片，點(diǎn)擊后受害者會(huì)被導(dǎo)向一個(gè)偽造的目標(biāo)頁(yè)面，頁(yè)面設(shè)計(jì)完全模仿微軟官方的登錄界面。到這里為止，套路還屬于傳統(tǒng)釣魚(yú)的范疇——但接下來(lái)的步驟完全不同了。

頁(yè)面會(huì)提示受害者復(fù)制一組短代碼，然后到真正的微軟設(shè)備登錄頁(yè)面輸入。絕大多數(shù)普通用戶在這一步不會(huì)產(chǎn)生任何警覺(jué)：他們面對(duì)的是微軟官方域名，頁(yè)面樣式毫無(wú)破綻，操作流程和某次換手機(jī)登錄時(shí)的體驗(yàn)一模一樣。一旦受害者輸入驗(yàn)證碼并完成登錄，微軟的身份驗(yàn)證系統(tǒng)就會(huì)授權(quán)攻擊者控制的設(shè)備。受害者這邊看到的，只是"登錄成功"的正常反饋。

攻擊者從這一刻起，持有的是微軟365賬戶的有效訪問(wèn)令牌。他們可以讀取郵件、下載文件、在組織內(nèi)部橫向移動(dòng)，而整個(gè)過(guò)程中沒(méi)有觸發(fā)密碼重置提示，也沒(méi)有出現(xiàn)異地登錄的異常標(biāo)記。ReversingLabs的分析報(bào)告指出，這是一種近乎隱形的賬戶接管方式。

釣魚(yú)工具包的隱身術(shù)

支撐這場(chǎng)攻擊的釣魚(yú)工具包在設(shè)計(jì)上花了大量心思來(lái)躲避自動(dòng)化檢測(cè)。工具包在目標(biāo)頁(yè)面中嵌入了多種不可見(jiàn)字符，包括零寬空格、單詞連接符和零寬非連接符。這些字符被散布在安全工具通常會(huì)標(biāo)記為釣魚(yú)指標(biāo)的關(guān)鍵詞中間，使得基于簽名規(guī)則的檢測(cè)機(jī)制難以命中目標(biāo)。人類(lèi)肉眼完全看不到它們，但機(jī)器讀取到的字符串已經(jīng)變成了另一回事。

另一個(gè)讓攻擊看起來(lái)更可信的操作是，工具包使用了托管在Akamai合法基礎(chǔ)設(shè)施上的URL作為設(shè)備登錄入口。Akamai本身是全球最大的內(nèi)容分發(fā)網(wǎng)絡(luò)之一，企業(yè)安全策略通常不會(huì)攔截這類(lèi)域名。攻擊者借此把自己的流量裹進(jìn)了正常的互聯(lián)網(wǎng)噪聲里。

在后臺(tái)，釣魚(yú)工具包的服務(wù)器每四秒會(huì)向釣魚(yú)主機(jī)發(fā)送一次POST請(qǐng)求，協(xié)調(diào)攻擊者和受害者正在完成的OAuth授權(quán)流程。這個(gè)穩(wěn)定的心跳信號(hào)，是少數(shù)能夠被捕捉到的異常特征。安全團(tuán)隊(duì)如果要進(jìn)行檢測(cè)，可以關(guān)注網(wǎng)絡(luò)流量中出現(xiàn)的兩組主機(jī)名請(qǐng)求序列，這構(gòu)成了攻擊活動(dòng)最主要的技術(shù)指紋。

看不到對(duì)手的戰(zhàn)役

ReversingLabs的研究人員在報(bào)告中強(qiáng)調(diào)，這種攻擊方式之所以危險(xiǎn)，在于它將合法的身份驗(yàn)證基礎(chǔ)設(shè)施變成了對(duì)手的工具。多因素認(rèn)證在這里起不到攔截作用，因?yàn)樗旧砭褪且淮瓮暾摹⑼ㄟ^(guò)驗(yàn)證的登錄。用戶沒(méi)有輸入密碼，所以密碼管理器無(wú)法發(fā)出警告；登錄行為發(fā)生在微軟官方的授權(quán)頁(yè)面上，所以釣魚(yú)檢測(cè)插件不會(huì)將其標(biāo)記為惡意。

普通用戶識(shí)別這類(lèi)攻擊的門(mén)檻正在變得越來(lái)越高。對(duì)于IT管理員來(lái)說(shuō)，值得關(guān)注的并不是某一封可疑郵件，而是監(jiān)控設(shè)備代碼授權(quán)請(qǐng)求的異常頻率。當(dāng)同一個(gè)賬戶在短時(shí)間內(nèi)出現(xiàn)多次設(shè)備授權(quán)嘗試，或者授權(quán)請(qǐng)求來(lái)自與用戶日?；顒?dòng)無(wú)關(guān)的地理位置時(shí)，這往往是攻擊正在進(jìn)行的信號(hào)。

這次攻擊活動(dòng)的發(fā)現(xiàn)也反映出一個(gè)更大的趨勢(shì)：釣魚(yú)攻擊正在從"偷憑證"轉(zhuǎn)向"劫持會(huì)話"。攻擊者不再需要破解密碼、繞過(guò)兩層驗(yàn)證、對(duì)抗風(fēng)控算法，他們只需要讓用戶在自己的眼皮底下完成一次授權(quán)。而整個(gè)安全防護(hù)體系，目前還沒(méi)有完全適應(yīng)這種邏輯的轉(zhuǎn)變。