摘要钓鱼即服务PhaaS依托订阅制完成黑产工业化转型AiTM 中间人代理技术可完整绕过政企普遍部署的多因素认证MFA体系Kratos 作为由 Sneaky2FA 迭代而来的主流平台在 2024 年末至 2026 年 7 月形成覆盖 35 国的规模化攻击网络。2026 年 7 月德国联邦刑事警察局BKA主导奥林匹斯之刃Olympus Blade跨境联合执法联合美国 FBI、印尼警方查封 200 余台核心服务器、逮捕平台开发者官方宣称平台基础设施完全瘫痪。但 CSO Online、IDC、Malwarebytes 等多家安全机构专家基于产业生态研判指出本次打击仅造成短期扰动无法根除 AiTM 钓鱼产业链黑产代码、客户资源、攻击手法可快速迁移至同类竞品平台。本文以 CSO Online 披露的行业专家深度分析、德国执法公开材料、平台逆向源码为实证素材分层解析 Kratos 商业运营模式、双模式 AiTM 攻击技术、多层反检测规避机制重点论证跨境服务器查封、单一开发者抓捕行动存在的固有局限厘清 “基础设施摧毁不等于黑产链条瓦解” 的核心逻辑配套 Node.js 代理演示代码、Python 邮件诱饵检测脚本、Microsoft Sentinel 异常会话审计 KQL 查询三类工程化代码构建 “身份层风险管控 - 流量前置拦截 - 终端浏览器加固 - 跨境情报协同” 四层闭环防御体系弥补单一跨境打击手段的短板。反网络钓鱼技术专家芦笛指出当前全球针对 PhaaS 平台的跨境打击陷入 “打地鼠” 循环根源在于防护体系过度依赖事后执法企业侧缺少针对 AiTM 会话劫持、BitB 弹窗、代理流量的常态化检测能力必须建立技术防护与跨国执法协同的长效治理机制。关键词钓鱼即服务KratosAiTM 中间人钓鱼跨境网络执法MFA 绕过网络黑产治理云身份安全1 引言1.1 研究背景与问题提出数字化办公普及后Microsoft 365 成为企业核心数据载体多因素认证被行业认定为阻断凭证窃取攻击的基础防护手段但黑产技术持续向实时流量中继方向迭代传统静态仿页钓鱼逐步被 AiTM 中间人代理技术取代。PhaaS 商业模式大幅降低高级钓鱼技术使用门槛无编程能力的底层攻击者仅需支付加密货币订阅费用即可租用成熟反向代理架构、仿登录模板、反爬虫规避工具批量开展商业邮件劫持BEC攻击。2026 年 7 月 22 日 CSO Online 发布专项报道完整收录 IDC、Digital 520、Malwarebytes、Flare 等多家安全机构专家对奥林匹斯之刃行动的差异化研判形成与德国官方乐观结论形成对照的客观行业视角。本次行动查封 Kratos 全部核心服务器、抓捕唯一开发者但安全研究者普遍达成共识平台代码、1800 余名付费订阅客户、上万条目标企业通讯录、全套攻击贸易手段不会随服务器查封消失攻击者会快速切换至 Evilginx、RaccoonO365 等同类 PhaaS 工具钓鱼攻击总量仅出现短期小幅回落长期威胁无本质缓解。现有国内安全研究存在三处明显空白其一多数文献仅复述跨境执法行动成果缺少对打击局限性的深度实证分析未结合 CSO Online 收录的行业专家观点拆解黑产产业链韧性其二技术落地内容缺失未配套适配云身份平台、邮件网关的可复用检测代码企业安全团队无法落地 AiTM 专项管控其三防御方案割裂仅单一强调跨境执法或单点身份策略未构建兼顾事前技术阻断、事中告警、事后跨国溯源的协同闭环。针对上述短板本文依托 CSO Online 行业分析、德国执法公开数据、平台逆向源码开展系统性研究客观评估跨境打击的实际价值与固有约束构建适配国内政企的分层防护体系。1.2 研究边界与核心研究内容本文研究边界限定于 Kratos前身为 Sneaky2FA微软追踪命名 SneakyLogPhaaS 平台针对 Microsoft Entra ID、Microsoft 365 实施的 AiTM 中间人钓鱼攻击以 CSO Online 披露的安全行业专家观点为核心论据聚焦奥林匹斯之刃跨境打击行动的成效、局限、黑产迁移路径不拓展短信验证码劫持、设备码钓鱼等平行攻击手段。核心研究内容分为四模块第一梳理 Kratos 平台演化脉络、订阅制商业运营全链路量化平台攻击规模、营收、客户与受害者画像第二分层解析 Kratos PHP 静态抓取、Node.js 反向代理双攻击模式拆解 BitB 弹窗、Turnstile 人机验证、地理黑白名单多层反检测规避机制第三基于 CSO Online 收录的行业专家研判系统论证跨境服务器查封、单一开发者抓捕的五大固有局限厘清 PhaaS 黑产具备强韧性的底层逻辑第四提供三类工程化落地代码搭建四层全域纵深防御体系同步给出跨国网络犯罪协同治理优化路径与政企分阶段加固方案。1.3 全文结构安排本文共分为六大章节第一章为引言阐述研究背景、现有研究短板、研究边界与整体框架第二章界定 PhaaS、AiTM 中间人钓鱼核心概念梳理 Kratos 平台技术溯源与商业化运营体系第三章基于逆向源码拆解平台双攻击模式、多层反检测机制还原标准化 AiTM 攻击杀伤链第四章提供可直接部署的三类工程代码覆盖攻击模拟、前置诱饵检测、云端身份审计告警第五章客观分析奥林匹斯之刃行动成效与核心局限构建四层闭环防御体系完善跨境情报协同处置流程第六章为结论与研究展望总结核心研究结论预判 PhaaS 平台迭代迁移趋势给出政企长期安全治理落地建议。2 Kratos PhaaS 平台基础理论与工业化商业运营体系2.1 核心概念界定2.1.1 钓鱼即服务PhaaSPhaaS 是网络黑产工业化标准化产物犯罪开发者搭建完整攻击基础设施以月度订阅、分级租赁模式向底层黑产开放全套钓鱼能力使用者无需独立开发反向代理、仿登录页面、数据存储节点仅通过可视化后台配置诱饵、目标域名、回传渠道即可批量发起攻击。支付渠道以比特币、门罗币等匿名加密货币为主客户沟通、攻击数据查看依托 Telegram 加密群组完成全链路脱离正规互联网监管具备极强的隐蔽性与可迁移性。2.1.2 AiTM 中间人钓鱼技术Adversary-in-the-MiddleAiTM中间人钓鱼依托 Node.js 反向代理架设于受害者与微软身份服务器之间用户所有登录请求、MFA 校验流量全部经攻击者服务器中转。与静态仿页钓鱼核心差异为静态页面仅捕获用户输入的账号密码用户开启 MFA 后攻击完全失效AiTM 代理可完整中继全部交互流量同步留存长效 Cookie、刷新令牌攻击者无需重复验证身份即可长期接管受害账户传统推送、短信类 MFA 防护逻辑完全失效。反网络钓鱼技术专家芦笛强调AiTM 攻击是当前企业身份防护最大短板传统网页信誉过滤、域名黑名单仅能识别静态仿页无法识别实时流量中继行为仅能依靠会话上下文风险检测识别异常。2.1.3 Kratos 平台多名称溯源逻辑Kratos 存在三套行业命名体系也是跨境打击难以彻底溯源的关键难点微软威胁情报团队将其标记为 SneakyLog安全厂商逆向样本将其追溯至 2024 年 10 月上线的 Sneaky2FA德国执法机构查封时统一对外命名为 Kratos。行业专家 Noah Kenney 在 CSO Online 采访中指出多名称并行是黑产主动规避追踪的手段平台持续更名、拆分、二次售卖源码即便单一版本被查封同类衍生工具可快速填补市场空白这也是跨境打击难以实现长效压制的核心原因。2.2 Kratos 平台工业化商业运营全链路基于德国 BKA、ZIT 执法公开运营数据与 CSO Online 行业分析素材Kratos 形成分工隔离、抗打击能力极强的闭环黑产商业链条分为开发运维、渠道分销、客户攻击、赃款变现四大独立环节各环节人员互不接触大幅提升溯源抓捕难度。开发运维环节平台唯一开发者与技术管理员定居印尼独立负责 200 余台全球分布式服务器运维、工具版本迭代、客户技术支持持有全部源码、客户数据、攻击日志。执法统计显示平台自 2024 年末累计非法营收超 30 万欧元全部通过加密货币结算资金链路无正规金融机构痕迹。本次行动仅抓捕该单一技术人员但源码文件、客户名单完整留存于服务器硬盘可被任意第三方复制复用。渠道分销环节依托 Telegram 私密机器人、加密群组完成获客不公开投放引流广告采用老客户推荐裂变模式订阅档位划分为基础版、专业版、企业版档位差异体现在代理并发带宽、BitB 弹窗功能、多渠道数据回传、域名绑定数量按月收取加密货币订阅费1800 余名付费客户覆盖东欧、东南亚、南美低监管地区。客户攻击执行环节付费加盟商登录专属加密后台可视化配置钓鱼模板、目标行业、访问黑白名单、人机验证规则平台自动生成带个性化邮箱参数的钓鱼链接、QR 二维码、HTML 诱饵附件攻击产生的账号凭证、会话令牌实时推送至客户私有 Telegram 频道同时本地存储于平台服务器日志目录。加盟商仅负责邮件群发、诱饵投递不参与平台基础设施运维服务器查封不会中断其攻击链路搭建能力。赃款变现环节加盟商利用劫持账户实施商业邮件诈骗、内部二次钓鱼、企业核心数据窃取骗取资金拆分至多层级匿名加密钱包完成混币洗白被盗账户数据批量打包在暗网交易市场售卖形成二次非法收益。CSO Online 收录 IDC 专家 Frank Dickson 观点指出即便 Kratos 平台下线1800 名加盟商仍持有完整企业目标通讯录、邮件群发渠道仅需更换工具即可快速重启攻击。2.3 Kratos 平台客户与受害者画像特征执法机构梳理平台全部订阅客户与受害主体数据呈现清晰地域、行业分布规律也是企业风险防控的重点方向客户侧1800 余名加盟商以无高级编程能力的底层黑产为主核心诉求是绕过企业 MFA 防护实施商业邮件欺诈集中分布在东欧、东南亚、南美网络监管薄弱区域受害者侧受害主体覆盖 35 个国家集中于欧盟各国、美国高风险行业为制造业、金融、律所、医疗、零售诱饵主题以税务单据、合作文档、薪资报表、客户档案为主定向投放企业高管、财务、行政岗位员工此类人员账户权限高沦陷后造成的数据泄露、资金损失风险显著高于普通员工。3 Kratos 平台技术架构、攻击模式与标准化杀伤链本章基于 ANY.RUN 沙箱逆向源码、德国执法查封服务器日志、CSO Online 配套威胁情报素材完整拆解 Kratos 前后端分层架构、两套攻击执行模式、内置多层反检测规避机制还原标准化中间人钓鱼完整杀伤链。3.1 Kratos 整体分层技术架构平台采用前后端解耦分布式架构分为前端接入层、核心代理处理层、数据存储与回传层、加密管理控制面板四层四层架构相互隔离单一节点下线不影响整体攻击链路稳定性大幅提升平台抗查封、抗检测能力。前端接入层部署于第三方可信云主机、被入侵合法网站子域名、Google Sites 免费托管站点承载静态仿微软登录页面、Cloudflare Turnstile 人机验证弹窗内置地理围栏、浏览器设备指纹过滤逻辑拦截安全爬虫、沙箱 IP、研究人员终端访问仅放行目标国家普通用户流量页面原生支持 BitB 浏览器内浏览器弹窗渲染模拟独立登录窗口弱化用户域名异常感知降低用户警惕性。核心代理处理层平台核心杀伤模块分为 PHP 静态抓取子模块、Node.js 反向代理 AiTM 子模块由加盟商自主选择启用Node.js 模块建立受害者浏览器与login.microsoftonline.com之间持久双向流量通道实时转发 GET/POST 请求同步完整抓取 Cookie、ID 令牌、长效刷新令牌是实现 MFA 绕过的核心功能组件。数据存储与回传层攻击产生的凭证、会话数据双路径存储本地以 JSON 格式留存于服务器日志目录同时通过 Telegram Bot 接口实时推送至加盟商私有加密频道支持自定义 SMTP 邮件回传渠道适配无 Telegram 使用习惯的黑产客户数据留存格式标准化可直接迁移至其他同类 PhaaS 平台。加密管理控制面板层独立加密后台加盟商通过独立账号密码登录内置攻击活动管理、流量统计、受害者地理位置分析、诱饵生成、访问黑白名单配置功能后台自身叠加 Telegram 二次 MFA 校验防止无关人员越权访问客户攻击数据后台配置文件可一键导出迁移至新服务器。3.2 Kratos 双攻击模式技术实现对比平台提供两套独立攻击执行方案适配不同黑产客户技术需求与风险承受能力二者技术实现、威胁强度、检测难度存在显著差异如表 1 所示表 1 Kratos 双攻击模式技术特征对比表格攻击模式 底层实现 MFA 绕过能力 数据捕获范围 规避检测能力 适用客户PHP 静态页面模式 静态仿微软 365 登录 HTML 表单表单提交后仅上传账号密码至后端 无仅窃取静态凭证用户开启 MFA 则攻击失效 用户名、明文密码、访问 IP 中等无实时流量转发特征单一 基础订阅客户低成本小规模测试Node.js 反向代理 AiTM 模式 双向实时流量中继代理完整转发用户与微软服务器全部交互流量 完全绕过捕获 MFA 校验后生成的长效会话令牌 账号、密码、会话 Cookie、刷新令牌、设备指纹、地理位置 极高流量与正常微软登录无视觉差异无静态窃取特征 专业、企业级订阅客户规模化商业邮件欺诈3.2.1 PHP 静态页面模式基础流程该模式实现逻辑简单无流量中继能力仅作为入门级低成本攻击方案平台生成仿微软 365 登录静态 HTML 页面页面表单 Action 地址指向 Kratos 后端 PHP 接收接口 next.php用户输入邮箱、密码点击登录表单数据 POST 提交至攻击者服务器 save.php 接收接口后端 PHP 脚本接收数据打包为 JSON 推送至加盟商 Telegram 频道页面跳转伪造加载失败提示用户误以为账号输入错误不会产生风险怀疑缺陷为无法处理 MFA 校验流程用户完成二次验证后无任何令牌捕获攻击成功率极低仅用于无 MFA 防护的小型组织。3.2.2 Node.js 反向代理 AiTM 高阶攻击完整流程该模式为 Kratos 核心杀伤能力也是本次跨境执法重点打击功能模块完整执行流程分为六步受害者点击钓鱼链接流量跳转至 Kratos 前端 Turnstile 人机验证页面通过校验后接入 Node.js 反向代理服务代理服务器向微软官方登录域名发起长连接同步将受害者浏览器原始请求原样转发至login.microsoftonline.com页面完整渲染微软原生登录界面URL 地址栏显示代理域名但页面交互、弹窗、MFA 推送逻辑与官方完全一致用户输入账号密码、完成微软验证器推送 / 短信验证码 MFA 校验全部交互流量经代理中转微软身份服务器下发会话 Cookie、长效刷新令牌至代理服务器代理同步复制全套令牌留存后台再将原始流量转发回受害者浏览器受害者正常进入企业邮箱页面无任何异常感知攻击者使用留存令牌无需二次验证即可在任意终端登录受害账户批量实施隐藏邮箱规则创建、恶意设备注册、客户数据导出等持久化操作。3.3 Kratos 内置多层反检测、反分析规避机制平台为延长钓鱼链接存活周期内置多层流量过滤与环境检测逻辑规避邮件安全网关、网页信誉系统、安全厂商沙箱爬虫识别CSO Online 配套情报完整收录四类核心规避手段第一人机验证隔离自动化扫描接入 Cloudflare Turnstile 无验证码人机校验所有访问流量必须完成验证方可进入钓鱼页面安全爬虫、自动化沙箱无法通过校验直接跳转空白无害页面恶意页面无法被安全厂商收录标记第二地理与设备黑白名单控制加盟商后台可配置目标国家白名单仅指定区域 IP 可访问钓鱼页面来自安全厂商、执法机构、研究机构集中地域的 IP 直接拦截区分移动端、桌面端流量仅对企业办公桌面终端展示完整仿登录页面第三浏览器环境检测校验访问终端是否开启开发者工具、是否运行于虚拟机、沙箱环境识别到分析环境直接阻断访问防止研究人员逆向页面代码、抓取代理特征第四多跳板可信域名分发支持加盟商绑定 Google Sites、被入侵正规网站、云服务商子域名作为跳转跳板多层可信域名中转拆分恶意流量链路网页过滤设备难以识别终端恶意代理节点。3.4 Kratos 标准化 AiTM 攻击杀伤链结合执法查获的真实攻击案例完整杀伤链分为诱饵投递、流量中转、代理劫持、令牌窃取、账户滥用、二次扩散六阶段全链路精准匹配 MITRE ATTCK 攻击矩阵诱饵投递初始访问 T1566.002加盟商发送鱼叉式商务邮件链接嵌入个性化邮箱参数自动填充登录页面配套 PDF 诱饵、QR 二维码、HTML 附件多载体引流人机校验与跳板跳转防御规避 T1656用户点击链接经多层可信站点跳转完成 Turnstile 人机验证后接入 Node.js 反向代理中间人流量中继凭证访问 T1557代理架设于用户与微软身份服务器之间实时转发全部登录、MFA 校验流量会话令牌截获凭证访问 T1528MFA 校验完成后代理复制微软下发的会话 Cookie、刷新令牌回传攻击者后台账户持久化滥用持久化 T1098攻击者利用令牌登录账户创建隐藏邮箱规则、注册恶意设备、导出通讯录与客户数据内部横向扩散收集 T1114依托受害企业邮箱向上下游合作客户批量发送同类钓鱼邮件扩大攻击范围。4 Kratos AiTM 攻击检测与管控工程代码实现本章基于平台逆向源码、Microsoft Entra ID 审计日志、邮件网关流量检测场景提供三段可直接落地的工程代码覆盖 AiTM 代理逻辑复刻、钓鱼诱饵前置识别、云端异常会话审计无数学公式适配政企主流 Microsoft 365 安全运维环境。4.1 Node.js 简易反向代理复刻 Kratos 核心 AiTM 劫持逻辑以下代码还原 Kratos 高阶攻击模式的基础反向代理功能仅用于安全研究、攻防演练场景用于直观展示中间人流量中继、会话 Cookie 捕获原理企业安全团队可基于该代码提取代理特征用于流量检测规则开发// Kratos AiTM反向代理核心逻辑演示代码仅用于安全研究const http require(http);const httpProxy require(http-proxy);const proxy httpProxy.createProxyServer({});const targetMicrosoft https://login.microsoftonline.com;// 捕获后端返回的会话Cookie、身份令牌数据proxy.on(proxyRes, function(proxyRes, req, res) {let cookieList proxyRes.headers[set-cookie];if(cookieList){// 本地存储捕获的会话凭证对应Kratos数据回传Telegram模块let stolenSession {userAgent: req.headers[user-agent],sourceIP: req.connection.remoteAddress,sessionCookies: cookieList};console.log(捕获受害者完整会话令牌数据, stolenSession);}});// 搭建本地代理服务接收用户前端浏览器请求const server http.createServer(function(req, res) {proxy.web(req, res, { target: targetMicrosoft, changeOrigin: true });});// 监听8080端口提供代理接入服务server.listen(8080, (){console.log(AiTM反向代理研究服务启动监听本地8080端口);});代码说明该代理服务接收用户浏览器请求转发至微软官方登录地址同时拦截服务器返回的 Set-Cookie 头部完整留存会话身份凭证与 Kratos 平台核心劫持逻辑完全一致边界防火墙、Web 网关可检测出站流量中 changeOrigin 跨域代理标识、异常批量 Set-Cookie 转发行为作为 AiTM 攻击识别特征。4.2 Python 邮件网关诱饵前置检测脚本部署于企业邮件安全网关自动扫描入站邮件链接、页面文本识别 Kratos 平台典型诱饵特征个性化邮箱参数、Turnstile 人机验证、BitB 弹窗诱导文案、多层跳转链路命中规则直接隔离高危邮件实现攻击投递阶段前置拦截import re# Kratos钓鱼诱饵特征正则库基于执法平台页面素材与CSO情报提取KRATOS_PHISH_RULES [# 链接携带自动填充邮箱参数re.compile(r\?email[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}, re.IGNORECASE),# 页面包含Cloudflare Turnstile人机验证标识re.compile(rchallenges.cloudflare.com/turnstile, re.IGNORECASE),# BitB浏览器内弹窗诱导文案re.compile(r独立窗口验证账户|新窗口查看共享文档|弹窗登录微软账号, re.IGNORECASE),# 多层跳转指向微软代理链路re.compile(rsites.google.*redirect|eusei.*dir/redirects, re.IGNORECASE)]def scan_kratos_lure(email_body: str, link_list: list) - bool:扫描邮件正文与全部外链命中2条及以上规则判定为Kratos高危钓鱼返回True代表隔离邮件并推送安全运营告警hit_count 0# 扫描邮件正文文本匹配特征for rule in KRATOS_PHISH_RULES:if rule.search(email_body):hit_count 1# 遍历邮件内所有外链逐一匹配特征规则for url in link_list:for rule in KRATOS_PHISH_RULES:if rule.search(url):hit_count 1return hit_count 2# 模拟邮件检测调用逻辑if __name__ __main__:sample_email_text 附件为合作财务报表点击链接查看https://malicious-domain.com/login?emailfinancecorp.commail_links [https://malicious-domain.com/login?emailfinancecorp.com]risk_flag scan_kratos_lure(sample_email_text, mail_links)if risk_flag:print(检测到Kratos AiTM钓鱼诱饵隔离邮件并触发高危安全告警)else:print(邮件无Kratos平台攻击特征正常放行)4.3 Kusto 查询Microsoft Sentinel AiTM 异常会话审计告警脚本依托 Entra ID 登录日志识别 Kratos 代理劫持产生的异常会话行为配置为实时高危告警规则攻击发生后 1 分钟内推送安全运营团队处置共两段核心查询语句。4.3.1 查询 1同一会话 ID 异地多 IP 复用检测Kratos 劫持的会话令牌会在短时间内从异地陌生 IP 发起二次登录该脚本匹配同一会话 ID、多地域 IP 登录行为精准定位令牌劫持事件kustoSigninLogs| where ResultType 0| extend SessionId tostring(RawDataStr.SessionId)| summarize LoginIPSet make_set(IPAddress), LoginCount count() by UserPrincipalName, SessionId, bin(TimeGenerated,1h)| where array_length(LoginIPSet) 1| project TimeGenerated, UserPrincipalName, SessionId, LoginIPSet, LoginCount4.3.2 查询 2反向代理跨域 Origin 异常登录检索匹配流量代理转发带来的异常跨域 Origin 标识区分正常微软登录与 AiTM 代理劫持流量kustoSigninLogs| where ResultType 0| extend RawJson parse_json(RawDataStr)// 匹配代理转发带来的非微软官方跨域Origin头部| where RawJson has Origin and RawJson.Origin !contains microsoftonline.com| project TimeGenerated, UserPrincipalName, IPAddress, LocationDetails, AppDisplayName, RawJson.Origin5 奥林匹斯之刃行动成效、固有局限与四层闭环防御体系5.1 奥林匹斯之刃跨境执法行动客观成效结合德国官方公告、CSO Online 行业报道本次行动具备三项可量化的正向治理价值第一短期中断规模化攻击链路。200 余台核心服务器全域下线1800 余名订阅者短期内无法依托 Kratos 开展 AiTM 钓鱼活动针对微软 365 的 Kratos 专属攻击活动出现 1-3 个月阶段性回落为企业安全加固预留缓冲窗口第二获取完整黑产取证数据集。查封服务器留存全部客户名单、攻击模板、受害者日志、加密货币交易记录执法机构可依托数据溯源次级黑产加盟商开展后续区域性打击第三释放全球网络治理威慑信号。多国联合协同抓捕、全域服务器查封向全球 PhaaS 开发者传递跨国追责的法律约束一定程度抑制新增同类平台开发意愿。5.2 CSO Online 收录行业专家研判跨境打击五大核心固有局限CSO Online 采访 IDC、Digital 520、Malwarebytes、Flare、LexisNexis 多位安全专家统一指出本次行动无法根治 AiTM 钓鱼产业链存在五大不可规避的底层局限也是单纯依靠事后执法难以长效防护的核心原因基础设施可快速重建核心代码未销毁IDC 安全副总裁 Frank Dickson 指出服务器查封仅销毁硬件载体平台源码、攻击模板完整留存于服务器硬盘可被任意第三方复制、重构、二次售卖搭建全新云服务器集群仅需数天替换硬件基础设施成本极低难以形成长期阻断。1800 名黑产加盟商无实质损失攻击能力完整保留Digital 520 首席顾问 Noah Kenney 提出核心观点Kratos 仅为攻击工具供应商1800 名付费加盟商是攻击执行主体服务器查封不会剥夺其目标企业通讯录、邮件群发渠道、社工诱饵制作能力仅需更换 Evilginx、RaccoonO365 等竞品平台即可快速重启攻击整体钓鱼总量不会出现长期下降。平台多名称迭代安全厂商追踪标准不统一不同安全厂商对同一套工具命名存在分歧微软标记为 SneakyLog、逆向团队命名 Sneaky2FA、执法机构定名 Kratos多名称并行增加威胁情报归集、黑名单拦截难度黑产持续更名、拆分源码、分版本售卖持续规避厂商特征库追踪。加密通讯、加密货币隔离资金与人员溯源链路平台全部客户沟通依托 Telegram 加密群组订阅费用通过匿名加密货币结算无实名交易记录加盟商、开发者线上身份完全隔离单一开发者抓捕无法顺藤摸瓜定位全部下游攻击者资金洗白链路溯源难度极高。跨境管辖权约束全球协同机制不完善平台服务器分散全球多国家、开发者定居印尼、客户遍布 35 国各国网络犯罪法律条文、取证流程、协查标准不统一跨国证据移交、嫌疑人抓捕协调周期漫长单一国家主导的打击行动无法覆盖全球全部黑产活动区域形成 “打地鼠” 循环。Flare 研究员 Assaf Morag 将本次行动定义为 “象征性打击”仅能短期扰动市场无法从根源消除 AiTM 钓鱼的技术与商业需求Malwarebytes 研究员 Pieter Arntz 补充历史上同类 PhaaS 平台查封后平均 2-4 个月即出现更名重构的衍生工具攻击规模逐步恢复至原有水平。反网络钓鱼技术专家芦笛补充强调跨境打击属于事后补救手段无法阻止攻击投递、会话劫持行为发生企业层面的前置技术防护才是降低入侵损失的核心抓手。5.3 面向 Kratos 类 AiTM 攻击的四层闭环纵深防御体系结合 CSO Online 行业专家建议、平台技术缺陷、跨境打击局限性构建 “流量前置拦截 - 云端身份日志检测 - 终端浏览器加固 - 跨境情报协同” 四维协同防护框架四层机制相互补充弥补单一跨境执法的滞后性短板。5.3.1 第一层邮件与网页网关流量前置拦截事前阻断攻击投递本层为第一道防护关口从诱饵投递链路阻断 Kratos 钓鱼流量分为三项标准化落地措施部署 4.2 节 Python 诱饵检测脚本至邮件安全网关对所有外部入站邮件正文、外链、附件进行特征扫描命中 Kratos 专属规则直接隔离阻断诱饵抵达员工终端在边界防火墙、Web 网关配置 AiTM 反向代理特征规则拦截携带 changeOrigin 跨域代理标识、批量重复 Set-Cookie 转发的出站流量全网封禁未授权 Cloudflare Turnstile 人机验证页面消除平台反爬虫规避基础管控 Google Sites、第三方免费托管站点、存在开放重定向漏洞的合规网站访问权限限制员工通过此类站点跳转外部未知链接切断 Kratos 多层跳转引流链路。5.3.2 第二层Microsoft Entra ID 云端身份日志实时检测事中快速告警处置依托 Microsoft Sentinel、XDR 平台部署 4.3 节 KQL 审计规则实现会话劫持行为实时识别配套分级自动化处置流程告警分级处置机制单一异地 IP 复用会话 ID 标记为二级告警安全运营人员人工复核账户风险短时间多地域、多设备复用同一会话令牌标记为一级高危告警系统自动吊销全部账户会话、临时冻结账号登录权限建立用户登录基线记录常规登录地域、设备、工作时段叠加 AiTM 代理异常 Origin 特征提升告警精准度降低误报加固令牌生命周期策略在条件访问策略中开启会话令牌设备、IP 双绑定限制 Cookie、刷新令牌跨终端、跨地域复用即便攻击者截获会话令牌跨环境访问直接失效大幅削弱 AiTM 劫持收益。5.3.3 第三层终端浏览器安全加固层缩小攻击危害范围Kratos 依托 BitB 浏览器内弹窗、浏览器 Cookie 存储实现会话劫持终端侧管控可大幅降低攻击成功率落地措施包含三点统一部署企业托管浏览器禁用第三方未授权浏览器扩展关闭页面内独立弹窗渲染权限阻断 BitB 仿登录窗口展示配置浏览器网页过滤规则当访问非微软官方域名但渲染微软登录页面时强制弹出高危风险提示引导用户立即关闭页面终端行为管控限制办公终端访问匿名代理、Telegram 加密通讯工具阻断攻击者通过终端渠道接收劫持凭证、二次扩散钓鱼邮件。5.3.4 第四层跨境威胁情报与执法协同层长效削弱 PhaaS 黑产生存根基单家企业技术防护仅能抵御攻击落地无法根除 Kratos 类 PhaaS 平台规模化威胁结合奥林匹斯之刃行动暴露的协同短板建立政企、安全厂商、公安网安常态化情报协同机制对接专业安全厂商威胁情报平台实时同步 Kratos 恶意域名、攻击者 IP、钓鱼模板特征、IOC 指标网关、身份平台自动导入黑名单实时拦截企业监测到 Kratos 攻击行为后完整留存邮件诱饵、代理 URL、登录审计日志同步上报属地网络安全执法部门形成区域性攻击数据汇总为后续跨境联合打击提供完整取证材料推动全球统一加密资产、加密通讯数据协查标准消除跨境管辖权差异带来的取证、抓捕滞后性从资金、通讯链路压缩 PhaaS 黑产生存空间。5.4 跨境网络犯罪协同治理优化路径基于 CSO Online 行业专家对本次行动局限性的分析针对全球 PhaaS 平台治理提出三点优化方向第一建立多国实时威胁情报共享通道统一 PhaaS 平台特征命名、IOC 指标归集标准消除安全厂商追踪标准不统一带来的防护盲区第二推动云服务商主体责任落地强化免费托管站点、海外廉价云主机的恶意行为实时监测主动配合执法机构关停恶意跳板节点从基础设施源头压缩黑产托管空间第三完善加密货币、加密通讯跨国协查法律框架简化跨境证据移交、嫌疑人抓捕流程缩短联合打击行动周期降低黑产重构平台的窗口期。6 结论与研究展望6.1 核心研究结论本文依托 2026 年 7 月 CSO Online 发布的奥林匹斯之刃行动专项报道、德国执法公开材料、平台逆向源码系统完成 Kratos 钓鱼即服务平台技术、商业运营、跨境打击成效与局限、全域防护体系全维度研究得出三项客观核心结论第一Kratos 作为 Sneaky2FA 迭代而来的标准化 PhaaS 平台核心威胁来源于 Node.js 反向代理 AiTM 中间人流量中继技术可完整截获用户完成 MFA 校验后的长效会话令牌完全突破传统推送、短信类多因素认证防护平台分级订阅制大幅降低高级钓鱼攻击技术门槛1800 余名底层黑产加盟商每月发起 15000 轮规模化定向钓鱼形成成熟工业化网络犯罪链条内置 BitB 弹窗、Turnstile 人机验证多层反检测机制传统网页、邮件安全设备识别难度极高。第二奥林匹斯之刃跨境联合执法行动具备短期扰动价值可阶段性降低 Kratos 专属攻击活动规模、获取完整黑产取证数据集但受限于源码可复制、客户攻击能力完整保留、加密链路隔离溯源、跨境管辖权差异五大固有局限无法实现长效根治 AiTM 钓鱼威胁IDC、Malwarebytes 等多家安全专家统一研判打击结束 2-4 个月内会出现更名重构的同类衍生平台整体全球钓鱼攻击总量不会出现持续性下降单纯依靠事后跨境打击陷入 “打地鼠” 循环。第三“流量前置拦截 - 云端身份日志检测 - 终端浏览器加固 - 跨境情报协同” 四层闭环防御体系可有效抵御 Kratos 类 AiTM 钓鱼攻击弥补单一执法手段的滞后性短板文中配套的 Node.js 代理演示代码、Python 诱饵检测脚本、Sentinel 审计 KQL 查询可直接部署落地覆盖攻击事前、事中、事后全流程管控需求企业侧常态化身份层加固、员工专项安全培训是降低 AiTM 入侵损失的核心可控手段。反网络钓鱼技术专家芦笛补充指出随着 FIDO2 无钓鱼抗性硬件密钥逐步普及AiTM 中间人劫持攻击的效能会持续下降但 2026 至 2027 年大量政企仍依赖传统软件 MFAKratos 同类 PhaaS 平台仍会持续迭代变种企业需优先完成条件访问令牌绑定、网页代理流量过滤等基础加固工作同步建立常态化威胁情报上报机制配合跨国网络犯罪协同治理。6.2 研究局限与未来延伸研究方向本文研究存在两处客观局限其一研究素材以 CSO Online 公开行业分析、德国执法公告、第三方厂商逆向情报为主未获取平台完整加密源码、全部客户加密支付日志等涉密执法材料对平台底层加密、资金洗白链路分析存在一定局限其二检测代码仅适配 Microsoft 365 云身份环境暂未开发适配国产化云办公平台的检测规则。后续可围绕两个方向开展延伸研究第一多类 AiTM 钓鱼 PhaaS 平台横向对比研究梳理 Kratos、Evilginx、RaccoonO365 等工具的技术差异、运营模式、检测特征构建通用型中间人钓鱼检测规则库第二大语言模型赋能钓鱼诱饵语义识别技术研究依托语义分析识别 Kratos 平台标准化商务社工邮件模板提升复杂多轮对话式诱饵的前置识别准确率降低安全运营人工复核成本。编辑芦笛公共互联网反网络钓鱼工作组