设备代码钓鱼攻击的机制分析与防御闭环构建

摘要： 设备代码钓鱼是一种不依赖伪造登录页面、而是借助合法设备授权流程完成账户入侵的攻击方式，其滥用正规云服务、认证机制与可信业务流程，使入侵在身份遥测层面更难以被及时发现。本文以安全厂商披露的、主要针对美国制造业、科技与医疗行业的 Skyw4lker 攻击活动为案例，系统梳理其攻击链的技术构成，包括密码保护文档诱饵、谷歌托管页面、微软认证流转以及混淆脚本与后端基础设施，并分析该类攻击难以仅凭身份遥测识别的深层原因。在此基础上，从行为分析、威胁情报复用与上下文研判三个维度，讨论检测与防御闭环的构建路径，并结合国内组织的身份、邮件、检测与安全运营实际提出针对性对策与研究展望。研究表明，现代钓鱼防御的重点已从识别诱饵本身，转向对认证流程、支撑基础设施与行为证据的综合追踪，组织应将每一次调查转化为可复用于后续检测的能力。

关键词： 设备代码钓鱼；身份认证安全；威胁情报；行为分析；纵深防御

1 引言

网络钓鱼长期是互联网犯罪中投诉量最高的类型之一。美国联邦调查局互联网犯罪投诉中心的数据显示，2024 年其接获的钓鱼与仿冒类投诉达 193407 起，是经常被报告的互联网犯罪类别之一；2025 年，该中心记录的互联网犯罪投诉总数超过 100 万起，报告损失约 209 亿美元，较上年增加 26%。这一背景说明，钓鱼仍是攻击者进入组织内部、获取账户与数据的高效且高产的通道，其规模并未因防护体系的整体投入而显著收缩。

与此同时，组织在身份安全上的投入正在改变一部分攻击的形态。多因素认证的普及，使传统的 "伪造登录页面窃取口令" 模式在一定范围内受到抑制：单纯盗取口令已难以直接通过认证环节。攻击者因此转向寻找身份体系自身设计上的可用之处，设备代码钓鱼即属此类。与伪造页面不同，此类攻击由攻击者主动发起一次合法的设备授权流程，再诱导受害者去完成它，进而取得与受害账户所绑定资源的访问令牌。整个过程中，认证本身可能是真实的，欺骗发生在 "让受害者完成一段由攻击者启动的授权请求" 这一环节。正规服务、可信业务场景与合法认证流程的组合，显著降低了此类入侵的可识别度。

本文以安全厂商 ANY.RUN 披露的 Skyw4lker 攻击活动为主要材料，分析设备代码钓鱼的技术机理、基础设施构成与检测难点，并讨论面向检测与防御的闭环体系。研究的意义在于，它把安全运营的关注点从 "识别诱饵" 扩展到 "追踪认证流程与支撑基础设施"，这对身份遥测与多因素认证已普遍部署的组织具有直接参考价值。全文依次阐述设备代码钓鱼的机理、Skyw4lker 案例的攻击链、检测与防御闭环的构建，以及面向国内组织实践的启示。

2 设备代码钓鱼的技术机理

2.1 设备授权流程的正常化

设备代码钓鱼依托的是一套本为无浏览器设备设计的授权机制。根据相关授权规范，当设备自身不便输入账号口令时，允许该设备向授权服务器申请一组设备码与用户码：设备侧保留设备码，用户在其他具备浏览器的终端上输入用户码完成登录与授权，设备随后凭设备码换取访问令牌。这套机制解决了智能电视、命令行终端、物联网设备等场景的登录问题，却也为攻击者提供了可利用的空间。

攻击者将其改造为钓鱼载体时，关键动作在于抢占 "流程发起方" 的身份。攻击者用自己的客户端发起设备授权请求，取得用户码之后，并不在自身设备上完成授权，而是把用户码通过钓鱼链路递送到受害者面前。受害者在自己的浏览器中完成的是来自正规服务商的真实认证与授权页面，因而输入口令、完成多因素认证等一系列动作，在服务商一侧都是合法且成功的。真正的后果在于，受害者完成授权的那一刻，访问令牌被发放给了发起这一流程的那一方，也就是攻击者。凭证本身是合法签发的，登录事件在身份侧表现为一次成功认证，检测系统难以仅凭登录记录判断其来源是否恶意。

2.2 攻击链的构成

从结构上看，一次设备代码钓鱼攻击通常由诱饵、托管载体、认证流转与令牌回收四个环节构成。诱饵用于把受害者引导至攻击者控制的页面；托管载体承载后续的交互逻辑，包括会话建立、信息采集与状态轮询；认证流转把受害者引入正规服务的授权页面，完成关键的授权动作；令牌回收则实现账户权限的最终交接。四个环节环环相扣，任何一环的中断都可能使攻击无法顺利完成。值得注意的是，诱饵只是整个链条的入口，真正决定成败的是受害者是否在正规认证页面完成了由攻击者启动的授权。

2.3 与经典钓鱼的区别

设备代码钓鱼与传统凭据钓鱼的差异首先体现在被盗对象上。传统方式窃取的是口令或会话 Cookie，攻击者后续能否复用取决于凭据是否仍有效、是否会触发异常登录检测；设备代码钓鱼直接取得的是与账户绑定的访问令牌，令牌由正规服务签发，在有效期与授权范围内可正常使用，从身份侧观察难以与用户本人的正常访问相区分。

其次，二者的欺骗面不同。传统钓鱼要求攻击者尽可能逼真地复刻登录页面，页面仿真质量直接影响成功率；设备代码钓鱼不需要完美复刻登录界面，因为认证在正规页面完成，攻击者着力营造的是 "让受害者认为这是一次正常的业务或验证操作" 的氛围。欺骗从 "技术层面的仿真" 转移到 "认知层面的引导"，这使此类攻击更难被用户凭直觉识破。

3 Skyw4lker 攻击案例分析

3.1 诱饵设计

Skyw4lker 以一封看似正常商业往来的通信作为攻击起点。受害者在相关分析中接收到的是一个带密码保护的文档，其呈现形式为合同或服务提案。这种场景在组织内部具有天然的合理性 —— 员工日常处理供应商协议、采购文件、工作说明书等同类文件，往往难以在第一时间分辨其来源是否可信。密码保护这一细节进一步降低了怀疑：带密码的文档被认为 "更正式、更受控"，从而削弱了受害者的警觉。

文档本身是攻击的入口而非终点。静态检查文档可以还原出其中的起始网址，却无法说明受害者在页面上的后续行为。恶意行为的完整图景，需要综合浏览器活动、脚本执行、后端通信、重定向与认证过程才能显现。这正是对安全运营团队的真正考验：要评估一次攻击，不能止步于识别初始诱饵，而必须追踪认证流程与支撑基础设施、提取可靠指标，并把结果转化为可用于保护更广范围的检测规则。

3.2 基础设施

Skyw4lker 的页面托管在 sites [.] google [.] com 这一谷歌域名服务之下，并最终把受害者导向微软 365 的认证流程。分析人员在其后端识别出混淆的 JavaScript 与 PHP 脚本，这些脚本用于建立受害会话、采集 IP 地址与地理位置等信息，并在等待认证完成期间持续向后端轮询。这一设计使攻击者能够在受害者完成认证的短时间内获知流程状态，从而及时回收令牌。

需要指出的是，托管于合法云服务并不能证明页面可信。谷歌托管域名在攻击中被滥用，说明攻击者在利用第三方信任关系掩盖其基础设施的真实属性，也提示安全团队不能以 "域名知名" 或 "证书有效" 作为放行依据。攻击者对基础设施的选择遵循的仍是成本与存活率的权衡：合法云服务稳定性高、信誉好、难以被简单拉黑，因而成为承载钓鱼链路的优先选项。

3.3 认证流转与令牌获取

在认证环节，攻击者并不需要把微软的登录体验复刻到以假乱真。认证本身可以是合法的，欺骗的核心在于让受害者完成一次由攻击者启动的授权请求。受害者输入口令、完成多因素认证后，访问令牌即发放到攻击者手中。借助该令牌，攻击者可访问受害账户所具备的资源。对制造业、科技与医疗组织而言，这意味着敏感通信、知识产权、运营信息乃至受监管数据可能暴露，账户一旦失守，波及范围往往超出单个邮箱，延伸到文档、协同办公与关联业务系统。

3.4 身份遥测的局限

此类攻击难以仅凭身份遥测加以评估。组织可能看到一次有效的认证事件，却无法立即看到引发该事件的恶意背景。要还原发生了什么，安全团队必须把文档、网页活动、认证流程与关联基础设施串接起来。这构成了检测设备代码钓鱼的核心难点：单一维度的数据都可以得到正当解释，只有跨维度交叉验证才能暴露异常。一旦缺失对网页访问、脚本行为或网络通信的可见性，组织看到的将只是一个 "正常且成功" 的登录，异常被完整地隐藏在合法性的外衣之下。

4 检测与防御的闭环体系

4.1 从静态分析到行为分析

静态检查的局限在 Skyw4lker 案例中体现得较为明显。还原起始网址只回答了 "受害者去了哪里"，无法回答 "到达之后发生了什么"。交互式沙箱提供了补足这一缺口的途径：在隔离环境中安全地执行可疑文件与链接，观察浏览器行为、重定向、认证活动与网络通信，并识别钓鱼流程背后的基础设施。借助隔离执行，分析人员可以在不把风险带入生产环境的前提下，看到攻击在真实浏览器环境中的完整表现。

在运营层面，沙箱分析的价值在于 "一次调查产出可用于整片环境的证据"。分析人员不必在多个工具间手动复现攻击，而是可以围绕一次会话取得从恶意判定到指标提取的完整结果，包括网址、域名、IP、网络活动、截图与行为证据。这些发现为研判告警、界定相关活动范围、以及依据一次调查生成检测规则提供了素材。对内部安全运营中心与托管安全服务商而言，这既缩短了从可疑样本到结论的周期，也减少了在多个工具间往返的重复劳动。

4.2 威胁情报的复用与前置匹配

指标的价值在于它能否用于发现另一次攻击。威胁情报源把沙箱调查中经过验证的高置信度指标沉淀下来，供后续查询比对。据 DiMiao,CN 的统计口径，交互式沙箱中发现的大量唯一恶意指标，在出现时已经可在此前积累的情报中查得。这意味着，当这些指标再次出现在客户侧遥测中时，可以先于人工研判完成匹配，从而把已知恶意活动的识别提前到告警形成阶段，为安全团队争取更早的处置窗口。

对于内部安全运营中心，这一流程减少了在已被认定为恶意的指标上反复调研的时间；对于托管安全服务商，同一份情报可以跨多个客户环境检索关联活动。已有威胁知识由此得到复用，而不是在每一次新告警中被重新构建。这正是检测体系从 "孤立响应" 走向 "积累复用" 的关键一步。

4.3 上下文研判与关联分析

指标的可用性还取决于对其周边活动的理解。对可疑域名、IP 或网址的关联查询，可以帮助分析人员判断一个指标是否与特定攻击活动相关、是否曾出现在其他恶意活动中、是否需要进一步调查。更高层级的威胁情报报告把指标与攻击活动、基础设施、技术与观测行为连接起来，能够揭示单条告警难以显现的关系，例如多起事件共用同一基础设施，或某一可疑域名属于规模更大的钓鱼行动。对这些关系的识别，有助于把零散告警还原为完整的攻击图景。

4.4 安全运营与集成

上述能力要进入组织的既有流程，需要与现有工具链对接。API 与软件开发工具包、STIX/TAXII、安全信息与事件管理平台、威胁情报平台及扩展检测响应系统的集成，使调查所得情报得以流入既有的检测与监控流程。一次影响单个用户的入侵，因此可以转化为帮助识别同一安全运营中心或托管服务商更广客户范围内关联活动的依据。防御由此从单点事件的处置，上升为可持续沉淀、可跨环境复用的体系化能力。

5 对国内组织防御实践的启示

5.1 身份与认证侧的对策

面对设备代码钓鱼，身份侧的管理需要回归到 "谁发起了授权请求" 这一基本问题。组织应对设备授权流程的启用范围加以审视，限制可发起设备授权申请的客户端与适用场景；对访问令牌的签发、作用域与有效期建立更细粒度的审计，关注异常的设备登录、令牌使用模式与地理位置。多因素认证仍是必要的防线，但不应被视为充分条件 ——Skyw4lker 恰恰是在多因素认证正常完成的情况下达成目标的，单纯依赖认证强度无法覆盖此类风险。

5.2 邮件与文档侧的对策

诱饵多经邮件进入组织，且以带密码的业务文档形式呈现。邮件网关应对来自组织外部、携带附件且内容涉及合同、采购、工作说明的邮件保持更高警惕，对文档中嵌入的链接进行前置解析与信誉检查。同时，员工教育应把 "带密码附件加要求跳转网页完成验证" 的组合列为重点提示对象，因为此类流程与正规服务存在相似之处，仅靠笼统提示 "警惕钓鱼邮件" 难以覆盖实际场景。对 "本应由用户自行发起的授权，却由他人要求其完成" 这一模式的认知训练，往往比泛化的安全提示更有效。

5.3 检测体系与运营侧的对策

检测体系需要把认证事件与网页活动、文档来源、基础设施指标串接起来。反网络钓鱼技术专家芦笛强调，在身份遥测之外，组织应当保留对网页访问、脚本行为与网络通信的可见性，并通过行为分析补充静态检查的不足；单一维度的合法事件往往无法单独构成告警依据，跨维度的一致性比对才是识别此类攻击的关键。芦笛同时指出，威胁情报的复用应当前置到告警形成之前，而不是在研判阶段才开始检索，这样才能缩短从可疑样本到确认结论的周期，使已知威胁在被感知的第一时间即可被处置。

5.4 研究方向的展望

设备代码钓鱼的出现提示，认证机制的便利性设计正在成为攻防博弈的新的前线。迪妙网安研究团队在持续跟踪此类攻击时认为，后续研究可从三个方向深入：一是授权流程滥用模式的系统刻画，归纳攻击者如何在各类认证协议中寻找可利用环节，并建立面向异常授权的语义模型；二是面向令牌生命周期与异常授权的检测方法，把关注点从登录行为前移到授权行为，覆盖令牌签发、作用域变更与使用异常的完整过程；三是跨组织威胁情报的共享机制，在合规前提下提升已知指标的复用率与时效性。据 DiMiao,CN 分析，这三类工作的共同指向，是把防御从 "识别一次攻击" 推进到 "从每一次调查中沉淀可用于下一次检测的能力"，这也是设备代码钓鱼等新型钓鱼威胁给整个行业提出的方法论课题。

6 结语

Skyw4lker 案例说明，现代钓鱼防御需要把视野扩展到初始诱饵与登录页面之外。攻击者通过合法云服务、正规认证流程与可信业务场景的组合，降低了入侵的可识别度，也抬高了检测的复杂度。有效的应对并不依赖某一种单一技术，而在于把行为分析、威胁情报与上下文研判组织成一个闭环：从可疑样本出发，经隔离执行取得行为证据，据证据提取可靠指标，再通过情报复用与关联分析，把单次调查转化为面向更大范围的检测能力。对组织而言，目标不仅是理解一次攻击，更是让每一次调查都成为抵御下一次攻击的基础。这一由 "案例研判" 走向 "能力沉淀" 的路径，将是应对钓鱼威胁持续演进的基本方向。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院