Kali365 钓鱼平台突袭 Microsoft 365 用户：FBI 紧急预警新型 OAuth 令牌攻击链

近期美国联邦调查局FBI联合网络安全与基础设施安全局CISA发布了一则编号为I-052126-PSA的私营行业通知披露了一个正在暗处快速膨胀的威胁——名为Kali365的网络钓鱼即服务PhaaS平台。这一平台并非传统意义上的凭证填充工具而是专门针对 Microsoft 365 生态设计核心目标直指OAuth 访问令牌与刷新令牌能够在完全不触碰用户密码、不触发短信验证码的前提下悄无声息地绕过多因素身份验证MFA防线。消息一出迅速在北美企业安全圈引发震荡。原因在于Kali365 的作恶方式并非依赖漏洞利用或暴力破解而是披着合法流程的外衣让受害者亲手把钥匙交给攻击者。这种攻击逻辑的转变标志着企业身份安全正面临新一轮范式挑战。从偷密码到骗授权令牌攻击正在改写规则过去钓鱼攻击的终点通常是骗取账号密码。安全团队只要部署 MFA便能在很大程度上掐断后续入侵。但 Kali365 的出现打破了这一惯性认知。它不再觊觎你的密码而是诱导你完成一次看似正常的微软登录授权从而换取一枚长期有效的 OAuth 令牌。拿到这枚令牌后攻击者可以像合法用户一样进出 Outlook、Teams、OneDrive甚至能利用刷新令牌在后台持续维系会话数月不被察觉。由于整个过程中用户名和密码从未泄露传统基于凭证异常的告警机制几乎形同虚设。设备代码认证被滥用的微软官方通道Kali365 的精妙之处在于它对微软设备代码认证流程Device Code Flow的精准劫持。这一机制原本是为了方便智能电视、打印机、命令行工具等无浏览器设备登录 Microsoft 365 而设计的却在攻击者手中变成了钓鱼利器。具体而言攻击链条大致如下受害者会收到一封精心构造的邮件主题可能伪装成共享文档待查看或Teams 会议录制文件。邮件内嵌一个由 Kali365 自动生成的设备代码并引导用户前往microsoft.com/devicelogin这个完全真实的微软官方页面输入该代码。用户一旦输入并点击确认实际上是在为攻击者控制的客户端应用授予访问权限。微软服务器随即返回 OAuth 访问令牌和刷新令牌攻击者的后台仪表盘实时捕获这些凭证。接下来攻击者无需再次与用户交互即可长期盘踞在目标账户内读取邮件、下载文件、监控内部沟通。Telegram 上的犯罪 SaaS低门槛化的大规模攻击Kali365 并非仅供技术高手把玩的高端工具。它通过 Telegram 频道以订阅制形式对外分发界面友好、上手极快几乎把网络钓鱼变成了一种按量付费的犯罪服务。订阅者不需要懂代码也不需要搭建服务器只需挑选模板、导入目标邮箱列表其余环节平台自动完成。根据 FBI 的追踪分析该平台内置了多项降低技术门槛的功能模块。首先是 AI 生成钓鱼内容平台能够根据目标行业自动撰写邮件正文模仿微软官方措辞、文档共享通知或 Teams 提醒语气与格式足以以假乱真。对于批量攻击而言这种个性化内容大幅提升了邮件的打开率和点击率。其次是自动化投放与追踪。从邮件群发、设备代码生成到受害者点击统计、令牌回收整个流程可在后台一键完成。攻击者通过可视化仪表盘实时查看战果包括哪些目标已授权、哪些令牌仍在有效期内、哪些账户具备高价值数据访问权限。更值得警惕的是令牌持久化利用。捕获的令牌并非一次性消耗品。借助刷新令牌机制攻击者可以在原始令牌过期后自动续期实现数月甚至更长时间的隐蔽驻留。在此期间受害者的 MFA 设备不会收到任何异常登录提示因为系统认定这是一次已授权且可信的会话。为什么传统防御手段频频失效很多企业已经部署了邮件网关、终端防护和 MFA却仍对 Kali365 这类攻击感到棘手。问题根源在于防御视角的错位。邮件本身往往不含恶意附件或钓鱼链接而是引导用户访问真实的微软域名。传统基于 URL 信誉的邮件过滤策略很难将其拦截。用户完成的是一次合规的身份验证流程终端检测系统EDR几乎看不到可疑进程或内存注入行为。再者由于密码未被泄露基于凭证泄露数据库比对的暗网监控服务也无法发出预警。攻击者潜伏期间的行为也极具迷惑性。他们不会一上来就批量下载数据或转发邮件而是先进行低频次、小范围的侦察——翻阅几封邮件、查看 Teams 频道成员列表、浏览 OneDrive 文件夹结构。这种慢速低噪的模式很容易淹没在海量正常日志中。真实危害远不止一封邮件被盗一旦 Kali365 成功渗透后果往往呈链式扩散。攻击者可以基于窃取的邮件内容发起更具针对性的商务邮件诈骗BEC冒充高管要求财务转账也能通过 Teams 内部消息判断员工出差时间为后续社工电话铺路甚至利用 OneDrive 中的合同、图纸、客户清单进行勒索或转售。更值得警惕的是横向移动。如果被盗账户属于 IT 管理员或拥有应用注册权限的用户攻击者可能进一步注册恶意 OAuth 应用向组织内其他用户持续发送钓鱼邮件形成内部账号可信域名的双重信任滥用破坏力呈指数级放大。企业应当如何收紧防线面对这种利用合法认证流程的寄生式攻击封堵漏洞的思路需要转向身份治理与条件控制。FBI 与 CISA 在联合通报中给出了若干具有实操价值的建议企业安全团队可结合自身环境逐步落地。核心策略在于重新审视设备代码流。如果业务场景并非绝对依赖无浏览器设备登录优先考虑在 Azure AD 条件访问策略中限制或关闭设备代码流认证。对于必须使用这一流程的物联网设备或运维脚本应将其纳入独立的条件访问策略绑定固定的 IP 范围、设备指纹和证书要求最大限度缩小攻击面。启用条件访问与令牌生命周期管控同样关键。通过 Microsoft Entra ID原 Azure AD的条件访问功能设置基于风险信号的策略当检测到来自陌生地理位置、匿名代理或不合规设备的令牌请求时强制要求重新认证或阻断会话。同时缩短访问令牌和刷新令牌的有效期对高权限账户实施更严格的会话刷新要求。阻断跨设备会话传输也不容忽视。攻击者常利用设备间传输认证功能将令牌从一个不受控设备转移到另一个环境。安全团队应通过 Intune 或第三方 MDM 方案限制企业数据的跨设备复制粘贴与会话漫游确保令牌与受信任终端强绑定。建立紧急访问账户与监控基线是兜底保障。在收紧设备代码策略前务必预留不受条件访问策略约束的紧急访问账户Break-glass Accounts防止策略误杀导致全局管理员被锁死。同时利用 Microsoft Defender for Cloud Apps 或 SIEM 平台建立令牌使用基线对异常的 Graph API 调用模式、非典型时间的邮件访问行为、以及短时间内大量文件下载操作保持敏感。日志中值得关注的异常信号包括同一设备代码在短时间内被多个不同地理位置的 IP 轮询用户代理字符串显示为自动化脚本或非常见浏览器刷新令牌频繁续期且伴随大量 Graph API 读取请求账户在授权后首次活动即访问敏感 SharePoint 站点或高管邮箱。受害后的响应与举报若企业怀疑已遭遇 Kali365 相关攻击FBI 建议立即向互联网犯罪投诉中心IC3提交举报。准备材料时尽量完整保留原始钓鱼邮件含完整邮件头信息、可疑登录的时间戳与源 IP、以及租户后台发现的异常设备或 OAuth 应用授权记录。这些细节对于执法部门追踪平台运营者、切断其 Telegram 分发渠道至关重要。内部处置层面安全团队应第一时间撤销受影响账户的所有活跃会话与刷新令牌强制重置相关应用的 OAuth 授权并回溯该账户在过去 90 天内的邮件规则、转发配置和 Teams 外部联系人变动排查是否存在二次传播或数据外泄迹象。结语身份安全进入令牌时代Kali365 的崛起并非孤立事件。它折射出网络犯罪生态正在从暴力破解与漏洞利用向身份流程滥用与社交工程精细化加速迁移。当攻击者不再试图攻破你的城墙而是直接骗取城门守卫的信任时防御重心就必须从网络边界转向身份边界。对于依赖 Microsoft 365 的企业而言这意味着 MFA 不再是终点而是起点。真正有效的防护需要在条件访问、令牌生命周期管理、用户行为分析和最小权限原则之间建立动态联动的防御矩阵。唯有把谁在用令牌、在哪用、怎么用纳入日常安全运营的核心视角才能在 Kali365 这类 PhaaS 平台的阴影下守住数据主权。