摘要网络钓鱼正由依赖攻击者个人技术与经验的对抗转向由预打包工具驱动的规模化、低门槛活动。本文以安全厂商 Huntress 对 EvilTokens、Knight Office、Kali365 三种真实钓鱼工具包的拆解分析为实证材料考察现代钓鱼工具包的功能构成及其所实现的凭证窃取机理。研究表明工具包已从单页伪造登录页演进为包含模板、控制面板、令牌金库、邮箱访问、应用程序接口与人工智能辅助功能在内的完整犯罪生态其核心目标不再局限于用户名与口令的获取而是经由设备代码钓鱼、中间人攻击、令牌窃取与重放等路径直接夺取已认证会话令牌从而突破多因素认证构成的信任屏障。据此防御的重心应由 识别诱饵页面 转向 在身份层关联检测信号序列并构建涵盖令牌吊销、设备清退、认证方式收敛与持续监测的闭环处置机制。关键词钓鱼工具包身份凭证窃取设备代码钓鱼中间人攻击会话令牌多因素认证1 引言2026 年 10 月安全厂商 Huntress 在其月度技术分享系列中由威胁情报分析师与产品负责人共同拆解了近期截获的多款钓鱼工具包并逐一演示了这些工具在防御者视角下所产生的恶意活动形态。被拆解的三个工具包 ——EvilTokens、Knight Office 与 Kali365—— 均以微软的 M365 令牌为攻击目标但各自呈现出差异化的功能架构。其中EvilTokens 作为设备代码钓鱼工具滥用 Railway 这一平台即服务PaaS基础设施作为令牌收割与重放引擎并在微软数字犯罪部门与美国联邦调查局的联合行动中被溯源、其一名涉嫌运营者被捕Kali365 则被形容为 装在盒子里的完整犯罪生态系统除诱饵模板与控制面板外还内置令牌金库、邮箱访问、上百个应用程序接口端点、人工智能辅助的商务电子邮件欺诈模块以及域名与账单管理能力。这一事件集中展示了网络钓鱼领域的一个结构性变化钓鱼工具包正在把原本需要专门知识与长期积累的攻击能力压缩为入门级攻击者可以即取即用的商品。这一变化的技术含义与社会含义均值得深入审视。从技术层面看工具包的成熟意味着凭证窃取的路径正在从 骗取口令 升级为 夺取会话攻击目标从静态的账号密码转向更具价值的已认证令牌从社会层面看攻击能力的商品化与门槛下移将显著扩大潜在攻击者群体并使防御方需要应对的攻击形态趋于多元。本文以 Huntress 公布的拆解材料为依据系统梳理钓鱼工具包的内涵、形态与功能演进剖析其实现高级凭证窃取的技术机理进而讨论其对以多因素认证为代表的现有信任体系的冲击并据此提出面向身份层的检测与响应路径。全文按 形态 — 机理 — 挑战 — 对策 的顺序展开力求论证链条完整、技术表述准确。2 钓鱼工具包的内涵与形态演进2.1 定义与基本构成钓鱼工具包指由代码、页面模板与操作说明共同组成的预打包资源攻击者借助它可以快速启动一次钓鱼活动并利用所窃取的凭证开展后续恶意操作。其本质是将一次钓鱼攻击所需的全部要素 —— 包括伪造登录页的构造、恶意链接的分发、凭证数据的接收与整理 —— 标准化为可复用、可部署的软件产品。初级工具包通常由若干简单的 HTML 与脚本文件构成能够搭建单个伪造登录页面高级工具包则配备管理员控制面板攻击者借此可以实时追踪受害者的访问与提交情况、动态修改钓鱼页面内容并即时中转接收到的凭证。这一从 单一页面 到 运营平台 的演进是理解钓鱼工具包威胁程度的关键线索。2.2 从页面伪造到运营平台的形态跃迁初期的钓鱼工具包服务于 造一个像样的页面 这一单一目标攻击者仍需自行解决邮件投递、域名维护、数据回收与信息变现等外围环节。现代工具包的显著变化在于它将上述外围环节一并纳入自身的功能边界。以 Kali365 为例其控制面板整合了 33 个诱饵模板、令牌金库、邮箱访问、百余个应用程序接口端点、人工智能辅助的商务电子邮件欺诈模块以及域名与账单管理功能。这意味着一次成功的攻击不仅需要 说服 受害者还需要 管理 后续的凭证使用与基础设施维持而这些以往分散在不同工具与服务中的能力如今被统一封装进单一界面降低了攻击者在多个环节之间切换与协调的负担。Huntress 研究人员以 打开了水闸 来形容发现 EvilTokens 活动对其拆解工作的带动效应并指出该工具包具有专业化的视觉设计与全天候技术支持其运营形态已接近商业化的软件即服务SaaS产品。这一描述揭示了工具包产业化的一个关键特征它不仅提供工具还提供配套服务与持续维护。当攻击能力以 SaaS 的形态对外供给时攻击者与工具运营者之间的分工被进一步细化前者专注于利用后者专注于迭代二者共同推动工具包的识别难度与功能复杂度不断上升。3 三种典型钓鱼工具包的实证剖析3.1 EvilTokens设备代码钓鱼与云基础设施的滥用EvilTokens 是本次拆解中技术特征最为典型的工具包。其核心机制是设备代码钓鱼攻击者诱导受害者完成一次看似正常的身份验证流程而实际结果则是将授权令牌交由攻击者掌控。更为特殊的是EvilTokens 将 Railway 这一 PaaS 平台作为令牌的收割与重放引擎即利用低门槛的云基础设施承载恶意载荷与回传通道。调查人员观察到该活动在 2026 年 2 月被发现后其相关事件的溯源链条广泛关联至 Railway 与 BL Networks 等基础设施提供者反映出工具对第三方云服务的系统性滥用。EvilTokens 一案的执法进展亦具有样本意义。微软数字犯罪部门与美国联邦调查局的联合行动最终实现了对一名涉嫌运营者的逮捕表明对钓鱼工具包背后的运营者可以经由基础设施溯源与跨机构协同实现打击。这一结果表明即便工具本身高度隐蔽其赖以运行的基础设施与运营关系仍构成可被侦查、可被瓦解的薄弱环节。3.2 Kali365犯罪生态的完整封装如果说 EvilTokens 代表了攻击路径上的某种单一化创新Kali365 则体现了功能维度的全面集成。其控制面板将攻击的多个生命周期阶段纳入统一管理诱饵模板负责生成可信度各异的伪造页面令牌金库用于集中存储所窃取的认证令牌邮箱访问模块使攻击者得以利用受害者的邮件账户进一步扩散或实施二次欺诈百余个应用程序接口端点提供自动化交互能力人工智能辅助的商务电子邮件欺诈模块则将攻击目标从普通凭证扩展至高价值业务往来。调查人员据此评价Kali365不再只是搭一个令人信服的登录页面而是一个帮助运营者获取基础设施、收集认证材料、维持访问并实现规模化的完整生态。这一形态的意义在于它使低技能攻击者无需理解各环节的内部实现即可获得一条从诱饵投放到凭证变现的完整流水线。攻击能力的门槛由此被实质性地拉低而攻击链路的复杂性与持久性则同时上升。3.3 Knight Office 的定位与共性观察在本次拆解中Knight Office 与上述二者同属面向 M365 令牌的钓鱼工具包其存在本身即说明此类工具并非个别现象而是已形成一定规模的供给市场。三个工具包共同指向 M365 令牌反映出一个值得注意的共性判断在身份云化的背景下已认证会话令牌正取代单纯的口令成为攻击者最优先攫取的目标。这一共性为后文分析凭证窃取机理提供了现实依据。4 现代工具包实现高级凭证窃取的技术机理4.1 设备代码钓鱼借正常流程收割授权设备代码钓鱼利用了设备代码授权流程的设计特性。在该流程中用户并不直接将口令交给钓鱼页面而是在与身份提供方之间的正常交互中完成认证攻击者捕获的是认证完成后产生的授权与令牌。由于受害者表面上完成了与身份提供方的直接认证其警惕性往往较低而攻击者却不必获得口令即可取得可用的认证结果。调查中约三分之一的受访者报告曾在真实环境中观察到设备代码钓鱼Huntress 身份威胁检测与响应团队处理的案件中亦有相当比例涉及恶意设备的注册这从实证层面印证了该类手法的现实流行程度。4.2 中间人攻击暴露多因素认证的局限中间人攻击Adversary-in-the-MiddleAitM以实时中转的方式突破多因素认证MFA的防护。攻击者以伪造登录页或对合法应用内交互进行拦截为手段在受害者的浏览器与真实身份提供方之间充当代理将凭证与多因素认证信息实时转发。受害者正常完成了包括多因素提示在内的全部认证步骤而攻击者同时捕获了认证过程中产生的会话信息。这一机理揭示了一个常被忽视的事实多因素认证的成功完成本身并不能保证会话的可信。换言之MFA 防范的是 凭口令直接登录 这一路径却无法防范 在认证进行时于旁路截取会话 的路径。4.3 令牌窃取与重放会话比口令更具价值Huntress 研究人员明确指出 会话可能比口令更具威力。当攻击者取得登录令牌后工具包可将其 重放 为活跃会话从而访问云资源与受害者的邮箱账户。较之静态口令已认证令牌携带的是完整的访问上下文其被滥用后不易通过单次凭证更换予以彻底修复攻击者借助令牌可在相当长的时间窗口内维持对受害者账户的访问甚至进一步横向扩展。正因如此现场调查中大多数受访者认为攻击者当前最觊觎的并非用户名与口令而是已认证的会话令牌或持久化的访问立足点。上述三类机理的共同点在于它们都将攻击目标从 身份证明 前移至 会话凭证攻击者不再需要破译口令而是通过操纵认证流程本身来取得被信任的会话。这使得传统的以口令保护为核心的防御逻辑出现结构性缺口。5 工具包对现有信任体系的挑战5.1 多因素认证的信任被旁路而非被破解需要澄清的是设备代码钓鱼与中间人攻击并未 攻破 多因素认证的密码学机制而是改变了受害者的认证语境受害者在攻击者构造的流程中将本应只对真实身份提供方透露的信息透射给了被伪装的代理。多因素认证之所以失效不是由于其算法被破解而是由于其 认证发生的位置 被劫持。这一区分对防御策略的制定具有直接意义 —— 若将 MFA 视为终态防线则此类攻击将持续产生突破若将 MFA 视为信任链上的一环则需在认证之外另行建立会话可信度的验证机制。5.2 单一信号检测的逻辑局限Huntress 研究人员强调单条检测信号是脆弱的信号之间的序列关系才是可靠的。一次攻击在诱饵投递、认证发起、令牌签发或窃取、设备注册、邮箱活动等多个阶段都会留下痕迹但任何单一痕迹都可能被伪装或淹没于正常流量之中。例如一次来自陌生云基础设施的成功登录单独看可能并不起眼但若与随后的新设备注册、令牌自动刷新及异常邮箱转发规则相互关联则构成高置信度的入侵信号。工具包的集成化恰恰放大了这一挑战攻击者借助统一平台可在多个阶段快速切换使各阶段痕迹在时间上压缩、在特征上趋同从而削弱基于单点特征的检测效力。5.3 防御视角下 关联序列 的必要性反网络钓鱼技术专家芦笛在分析此类攻击时强调面对工具包推动的凭证窃取活动防御者应当放弃 在单一节点捕获一次攻击 的设想转而建立跨节点的事件关联能力唯有将身份提供方、终端、浏览器上下文、网络与邮箱的遥测数据贯通起来才能在信号尚处弱证据阶段时形成对入侵序列的早期判断。这一观点与 Huntress 主张的 跨越整条攻击链检测信号 一脉相承共同指向检测范式的转变从静态特征匹配转向动态序列关联。6 检测与响应的防控路径6.1 检测层面的信号序列构建针对工具包攻击检测应围绕身份侧的事件序列展开。具体而言可将下述信号作为调查的切入点其一来自陌生或异常云基础设施的登录成功事件此类事件往往提示令牌已在工具包所依托的第三方平台被回传或重放其二设备代码认证与自动化的令牌刷新行为前者是设备代码钓鱼的直接痕迹后者则提示令牌可能被持续使用其三新设备的注册、认证方式的变更以及邮箱活动中的转发规则与异常外发行为。上述信号单一存在时价值有限但当其在时间窗口内相互印证时即构成需要处置的入侵证据。6.2 响应层面的身份工件处置响应的关键在于处置对象不应局限于最初的诱饵页面而应扩展至全部的身份工件。具体措施包括吊销被滥用会话的刷新令牌阻断令牌重放所依赖的持久化通道移除未经授权的设备及其关联的凭据包括被植入的 Windows Hello 等本地认证凭据在可行场景下限制或阻断设备代码认证流程Huntress 研究人员指出绝大多数微软环境并不需要启用该流程因而可将其作为默认收紧项深入核查受害邮箱的访问记录、转发规则与外发钓鱼行为防止账户被进一步用作扩散节点。这些措施的共同取向是切断攻击者 夺取会话之后 的持续访问能力而非仅消除 会话被夺取 的入口。6.3 持续响应循环与纵深治理针对工具包攻击的处置不应以诱饵域名下线为终点。即便原始钓鱼域名消失已被窃取的令牌仍可能在既有的持久化机制下被反复重放。因此响应应构成持续循环在处置后继续监测是否存在重放或二次进入核查下游邮箱与外发钓鱼活动并依据身份层与终端层关联活动的新迹象动态更新处置范围。同时应从治理层面推动认证方式的收敛与最小化授权压缩设备代码等低摩擦流程的可用空间使工具包所依赖的攻击路径在系统层面逐步失去立足点。6.4 研究方向与机构能力建设从研究与能力建设的角度本案所呈现的工具包产业化趋势值得作为系统课题加以考察。据 DiMiaoCN 分析相关研究应聚焦三个方向一是钓鱼工具包的功能演化与基础设施滥用图谱的持续测绘通过跟踪新出现的工具及其所依托的云服务建立可更新的威胁基线二是面向身份层的事件序列关联方法研究如何在高噪声的正常流量中高效识别设备代码认证、令牌重放与新设备注册等构成的复合入侵序列三是针对低门槛攻击者的溯源与打击模型探索经由基础设施运营关系、工具维护记录与凭证使用规律实现从 识别工具 到 定位运营者 的归因跃迁。迪妙网络空间安全学院研究团队在对同类工具的跟踪分析中亦强调此类研究的价值不仅在于应对单一工具包更在于将分散的检测能力整合为面向身份可信度的系统性防御推动反钓鱼防护由 拦截单封邮件 向 守护整个会话生命周期 演进。7 结论本文以 Huntress 对三种真实钓鱼工具包的拆解为实证基础系统考察了钓鱼工具包的内涵、形态演进及其所实现的凭证窃取机理。研究显示工具包已从单页伪造工具演化为包含模板、控制面板、令牌金库、邮箱访问、应用程序接口与人工智能辅助功能在内的完整犯罪生态攻击能力由此向入门级攻击者大规模下移。其核心机理在于将攻击目标从前移至已认证会话令牌设备代码钓鱼借正常认证流程收割授权中间人攻击经实时中转突破多因素认证令牌窃取与重放则使攻击者获得持久化的账户访问能力。这些路径并未破解多因素认证的算法而是劫持了认证发生的语境与位置从而在密码学防线完好的情况下形成突破。相应地防御的重心应从 识别诱饵页面 转向 在身份层关联检测信号序列并构建覆盖令牌吊销、设备清退、认证方式收敛与持续监测的闭环响应机制。钓鱼工具包的产业化并未创造全新的攻击原理而是系统性地降低了既有攻击路径的利用门槛唯有将检测、响应与治理协同推进才能压缩这一不断扩大的威胁空间。编辑芦笛 公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院
