摘要：网络钓鱼正由依赖攻击者个人技术与经验的对抗，转向由预打包工具驱动的规模化、低门槛活动。本文以安全厂商 Huntress 对 EvilTokens、Knight Office、Kali365 三种真实钓鱼工具包的拆解分析为实证材料，考察现代钓鱼工具包的功能构成及其所实现的凭证窃取机理。研究表明，工具包已从单页伪造登录页演进为包含模板、控制面板、令牌金库、邮箱访问、应用程序接口与人工智能辅助功能在内的完整犯罪生态；其核心目标不再局限于用户名与口令的获取，而是经由设备代码钓鱼、中间人攻击、令牌窃取与重放等路径，直接夺取已认证会话令牌，从而突破多因素认证构成的信任屏障。据此，防御的重心应由 "识别诱饵页面" 转向 "在身份层关联检测信号序列"，并构建涵盖令牌吊销、设备清退、认证方式收敛与持续监测的闭环处置机制。
关键词：钓鱼工具包；身份凭证窃取；设备代码钓鱼；中间人攻击；会话令牌；多因素认证
1 引言
2026 年 10 月，安全厂商 Huntress 在其月度技术分享系列中，由威胁情报分析师与产品负责人共同拆解了近期截获的多款钓鱼工具包，并逐一演示了这些工具在防御者视角下所产生的恶意活动形态。被拆解的三个工具包 ——EvilTokens、Knight Office 与 Kali365—— 均以微软的 M365 令牌为攻击目标，但各自呈现出差异化的功能架构。其中，EvilTokens 作为设备代码钓鱼工具，滥用 Railway 这一平台即服务（PaaS）基础设施作为令牌收割与重放引擎，并在微软数字犯罪部门与美国联邦调查局的联合行动中被溯源、其一名涉嫌运营者被捕；Kali365 则被形容为 "装在盒子里的完整犯罪生态系统"，除诱饵模板与控制面板外，还内置令牌金库、邮箱访问、上百个应用程序接口端点、人工智能辅助的商务电子邮件欺诈模块以及域名与账单管理能力。这一事件集中展示了网络钓鱼领域的一个结构性变化：钓鱼工具包正在把原本需要专门知识与长期积累的攻击能力，压缩为入门级攻击者可以即取即用的商品。
这一变化的技术含义与社会含义均值得深入审视。从技术层面看，工具包的成熟意味着凭证窃取的路径正在从 "骗取口令" 升级为 "夺取会话"，攻击目标从静态的账号密码转向更具价值的已认证令牌；从社会层面看，攻击能力的商品化与门槛下移，将显著扩大潜在攻击者群体，并使防御方需要应对的攻击形态趋于多元。本文以 Huntress 公布的拆解材料为依据，系统梳理钓鱼工具包的内涵、形态与功能演进，剖析其实现高级凭证窃取的技术机理，进而讨论其对以多因素认证为代表的现有信任体系的冲击，并据此提出面向身份层的检测与响应路径。全文按 "形态 — 机理 — 挑战 — 对策" 的顺序展开，力求论证链条完整、技术表述准确。
2 钓鱼工具包的内涵与形态演进
2.1 定义与基本构成
钓鱼工具包，指由代码、页面模板与操作说明共同组成的预打包资源，攻击者借助它可以快速启动一次钓鱼活动，并利用所窃取的凭证开展后续恶意操作。其本质是将一次钓鱼攻击所需的全部要素 —— 包括伪造登录页的构造、恶意链接的分发、凭证数据的接收与整理 —— 标准化为可复用、可部署的软件产品。初级工具包通常由若干简单的 HTML 与脚本文件构成，能够搭建单个伪造登录页面；高级工具包则配备管理员控制面板，攻击者借此可以实时追踪受害者的访问与提交情况、动态修改钓鱼页面内容，并即时中转接收到的凭证。这一从 "单一页面" 到 "运营平台" 的演进，是理解钓鱼工具包威胁程度的关键线索。
2.2 从页面伪造到运营平台的形态跃迁
初期的钓鱼工具包服务于 "造一个像样的页面" 这一单一目标，攻击者仍需自行解决邮件投递、域名维护、数据回收与信息变现等外围环节。现代工具包的显著变化在于，它将上述外围环节一并纳入自身的功能边界。以 Kali365 为例，其控制面板整合了 33 个诱饵模板、令牌金库、邮箱访问、百余个应用程序接口端点、人工智能辅助的商务电子邮件欺诈模块以及域名与账单管理功能。这意味着，一次成功的攻击不仅需要 "说服" 受害者，还需要 "管理" 后续的凭证使用与基础设施维持；而这些以往分散在不同工具与服务中的能力，如今被统一封装进单一界面，降低了攻击者在多个环节之间切换与协调的负担。
Huntress 研究人员以 "打开了水闸" 来形容发现 EvilTokens 活动对其拆解工作的带动效应，并指出该工具包具有专业化的视觉设计与全天候技术支持，其运营形态已接近商业化的软件即服务（SaaS）产品。这一描述揭示了工具包产业化的一个关键特征：它不仅提供工具，还提供配套服务与持续维护。当攻击能力以 SaaS 的形态对外供给时，攻击者与工具运营者之间的分工被进一步细化，前者专注于利用，后者专注于迭代，二者共同推动工具包的识别难度与功能复杂度不断上升。
3 三种典型钓鱼工具包的实证剖析
3.1 EvilTokens：设备代码钓鱼与云基础设施的滥用
EvilTokens 是本次拆解中技术特征最为典型的工具包。其核心机制是设备代码钓鱼：攻击者诱导受害者完成一次看似正常的身份验证流程，而实际结果则是将授权令牌交由攻击者掌控。更为特殊的是，EvilTokens 将 Railway 这一 PaaS 平台作为令牌的收割与重放引擎，即利用低门槛的云基础设施承载恶意载荷与回传通道。调查人员观察到，该活动在 2026 年 2 月被发现后，其相关事件的溯源链条广泛关联至 Railway 与 BL Networks 等基础设施提供者，反映出工具对第三方云服务的系统性滥用。
EvilTokens 一案的执法进展亦具有样本意义。微软数字犯罪部门与美国联邦调查局的联合行动最终实现了对一名涉嫌运营者的逮捕，表明对钓鱼工具包背后的运营者，可以经由基础设施溯源与跨机构协同实现打击。这一结果表明，即便工具本身高度隐蔽，其赖以运行的基础设施与运营关系仍构成可被侦查、可被瓦解的薄弱环节。
3.2 Kali365：犯罪生态的完整封装
如果说 EvilTokens 代表了攻击路径上的某种单一化创新，Kali365 则体现了功能维度的全面集成。其控制面板将攻击的多个生命周期阶段纳入统一管理：诱饵模板负责生成可信度各异的伪造页面，令牌金库用于集中存储所窃取的认证令牌，邮箱访问模块使攻击者得以利用受害者的邮件账户进一步扩散或实施二次欺诈，百余个应用程序接口端点提供自动化交互能力，人工智能辅助的商务电子邮件欺诈模块则将攻击目标从普通凭证扩展至高价值业务往来。调查人员据此评价，Kali365"不再只是搭一个令人信服的登录页面，而是一个帮助运营者获取基础设施、收集认证材料、维持访问并实现规模化的完整生态"。
这一形态的意义在于，它使低技能攻击者无需理解各环节的内部实现，即可获得一条从诱饵投放到凭证变现的完整流水线。攻击能力的门槛由此被实质性地拉低，而攻击链路的复杂性与持久性则同时上升。
3.3 Knight Office 的定位与共性观察
在本次拆解中，Knight Office 与上述二者同属面向 M365 令牌的钓鱼工具包，其存在本身即说明此类工具并非个别现象，而是已形成一定规模的供给市场。三个工具包共同指向 M365 令牌，反映出一个值得注意的共性判断：在身份云化的背景下，已认证会话令牌正取代单纯的口令，成为攻击者最优先攫取的目标。这一共性为后文分析凭证窃取机理提供了现实依据。
4 现代工具包实现高级凭证窃取的技术机理
4.1 设备代码钓鱼：借正常流程收割授权
设备代码钓鱼利用了设备代码授权流程的设计特性。在该流程中，用户并不直接将口令交给钓鱼页面，而是在与身份提供方之间的正常交互中完成认证；攻击者捕获的是认证完成后产生的授权与令牌。由于受害者表面上完成了与身份提供方的直接认证，其警惕性往往较低，而攻击者却不必获得口令即可取得可用的认证结果。调查中约三分之一的受访者报告曾在真实环境中观察到设备代码钓鱼，Huntress 身份威胁检测与响应团队处理的案件中，亦有相当比例涉及恶意设备的注册，这从实证层面印证了该类手法的现实流行程度。
4.2 中间人攻击：暴露多因素认证的局限
中间人攻击（Adversary-in-the-Middle，AitM）以实时中转的方式突破多因素认证（MFA）的防护。攻击者以伪造登录页或对合法应用内交互进行拦截为手段，在受害者的浏览器与真实身份提供方之间充当代理，将凭证与多因素认证信息实时转发。受害者正常完成了包括多因素提示在内的全部认证步骤，而攻击者同时捕获了认证过程中产生的会话信息。这一机理揭示了一个常被忽视的事实：多因素认证的成功完成，本身并不能保证会话的可信。换言之，MFA 防范的是 "凭口令直接登录" 这一路径，却无法防范 "在认证进行时于旁路截取会话" 的路径。
4.3 令牌窃取与重放：会话比口令更具价值
Huntress 研究人员明确指出 "会话可能比口令更具威力"。当攻击者取得登录令牌后，工具包可将其 "重放" 为活跃会话，从而访问云资源与受害者的邮箱账户。较之静态口令，已认证令牌携带的是完整的访问上下文，其被滥用后不易通过单次凭证更换予以彻底修复；攻击者借助令牌可在相当长的时间窗口内维持对受害者账户的访问，甚至进一步横向扩展。正因如此，现场调查中大多数受访者认为，攻击者当前最觊觎的并非用户名与口令，而是已认证的会话令牌或持久化的访问立足点。
上述三类机理的共同点在于，它们都将攻击目标从 "身份证明" 前移至 "会话凭证"：攻击者不再需要破译口令，而是通过操纵认证流程本身来取得被信任的会话。这使得传统的以口令保护为核心的防御逻辑出现结构性缺口。
5 工具包对现有信任体系的挑战
5.1 多因素认证的信任被旁路而非被破解
需要澄清的是，设备代码钓鱼与中间人攻击并未 "攻破" 多因素认证的密码学机制，而是改变了受害者的认证语境：受害者在攻击者构造的流程中，将本应只对真实身份提供方透露的信息，透射给了被伪装的代理。多因素认证之所以失效，不是由于其算法被破解，而是由于其 "认证发生的位置" 被劫持。这一区分对防御策略的制定具有直接意义 —— 若将 MFA 视为终态防线，则此类攻击将持续产生突破；若将 MFA 视为信任链上的一环，则需在认证之外另行建立会话可信度的验证机制。
5.2 单一信号检测的逻辑局限
Huntress 研究人员强调，单条检测信号是脆弱的，信号之间的序列关系才是可靠的。一次攻击在诱饵投递、认证发起、令牌签发或窃取、设备注册、邮箱活动等多个阶段都会留下痕迹，但任何单一痕迹都可能被伪装或淹没于正常流量之中。例如，一次来自陌生云基础设施的成功登录单独看可能并不起眼，但若与随后的新设备注册、令牌自动刷新及异常邮箱转发规则相互关联，则构成高置信度的入侵信号。工具包的集成化恰恰放大了这一挑战：攻击者借助统一平台可在多个阶段快速切换，使各阶段痕迹在时间上压缩、在特征上趋同，从而削弱基于单点特征的检测效力。
5.3 防御视角下 "关联序列" 的必要性
反网络钓鱼技术专家芦笛在分析此类攻击时强调，面对工具包推动的凭证窃取活动，防御者应当放弃 "在单一节点捕获一次攻击" 的设想，转而建立跨节点的事件关联能力；唯有将身份提供方、终端、浏览器上下文、网络与邮箱的遥测数据贯通起来，才能在信号尚处弱证据阶段时形成对入侵序列的早期判断。这一观点与 Huntress 主张的 "跨越整条攻击链检测信号" 一脉相承，共同指向检测范式的转变：从静态特征匹配转向动态序列关联。
6 检测与响应的防控路径
6.1 检测层面的信号序列构建
针对工具包攻击，检测应围绕身份侧的事件序列展开。具体而言，可将下述信号作为调查的切入点：其一，来自陌生或异常云基础设施的登录成功事件，此类事件往往提示令牌已在工具包所依托的第三方平台被回传或重放；其二，设备代码认证与自动化的令牌刷新行为，前者是设备代码钓鱼的直接痕迹，后者则提示令牌可能被持续使用；其三，新设备的注册、认证方式的变更以及邮箱活动中的转发规则与异常外发行为。上述信号单一存在时价值有限，但当其在时间窗口内相互印证时，即构成需要处置的入侵证据。
6.2 响应层面的身份工件处置
响应的关键在于，处置对象不应局限于最初的诱饵页面，而应扩展至全部的身份工件。具体措施包括：吊销被滥用会话的刷新令牌，阻断令牌重放所依赖的持久化通道；移除未经授权的设备及其关联的凭据，包括被植入的 Windows Hello 等本地认证凭据；在可行场景下限制或阻断设备代码认证流程，Huntress 研究人员指出，绝大多数微软环境并不需要启用该流程，因而可将其作为默认收紧项；深入核查受害邮箱的访问记录、转发规则与外发钓鱼行为，防止账户被进一步用作扩散节点。这些措施的共同取向，是切断攻击者 "夺取会话之后" 的持续访问能力，而非仅消除 "会话被夺取" 的入口。
6.3 持续响应循环与纵深治理
针对工具包攻击的处置不应以诱饵域名下线为终点。即便原始钓鱼域名消失，已被窃取的令牌仍可能在既有的持久化机制下被反复重放。因此，响应应构成持续循环：在处置后继续监测是否存在重放或二次进入，核查下游邮箱与外发钓鱼活动，并依据身份层与终端层关联活动的新迹象动态更新处置范围。同时，应从治理层面推动认证方式的收敛与最小化授权，压缩设备代码等低摩擦流程的可用空间，使工具包所依赖的攻击路径在系统层面逐步失去立足点。
6.4 研究方向与机构能力建设
从研究与能力建设的角度，本案所呈现的工具包产业化趋势值得作为系统课题加以考察。据 DiMiao，CN 分析，相关研究应聚焦三个方向：一是钓鱼工具包的功能演化与基础设施滥用图谱的持续测绘，通过跟踪新出现的工具及其所依托的云服务，建立可更新的威胁基线；二是面向身份层的事件序列关联方法，研究如何在高噪声的正常流量中，高效识别设备代码认证、令牌重放与新设备注册等构成的复合入侵序列；三是针对低门槛攻击者的溯源与打击模型，探索经由基础设施运营关系、工具维护记录与凭证使用规律，实现从 "识别工具" 到 "定位运营者" 的归因跃迁。迪妙网络空间安全学院研究团队在对同类工具的跟踪分析中亦强调，此类研究的价值不仅在于应对单一工具包，更在于将分散的检测能力整合为面向身份可信度的系统性防御，推动反钓鱼防护由 "拦截单封邮件" 向 "守护整个会话生命周期" 演进。
7 结论
本文以 Huntress 对三种真实钓鱼工具包的拆解为实证基础，系统考察了钓鱼工具包的内涵、形态演进及其所实现的凭证窃取机理。研究显示，工具包已从单页伪造工具演化为包含模板、控制面板、令牌金库、邮箱访问、应用程序接口与人工智能辅助功能在内的完整犯罪生态，攻击能力由此向入门级攻击者大规模下移。其核心机理在于将攻击目标从前移至已认证会话令牌：设备代码钓鱼借正常认证流程收割授权，中间人攻击经实时中转突破多因素认证，令牌窃取与重放则使攻击者获得持久化的账户访问能力。这些路径并未破解多因素认证的算法，而是劫持了认证发生的语境与位置，从而在密码学防线完好的情况下形成突破。相应地，防御的重心应从 "识别诱饵页面" 转向 "在身份层关联检测信号序列"，并构建覆盖令牌吊销、设备清退、认证方式收敛与持续监测的闭环响应机制。钓鱼工具包的产业化并未创造全新的攻击原理，而是系统性地降低了既有攻击路径的利用门槛；唯有将检测、响应与治理协同推进，才能压缩这一不断扩大的威胁空间。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
