可信域借道型钓鱼的会话劫持机制与治理

摘要：2026 年 8 月以来出现的一轮钓鱼活动，把入口放在谷歌日历邀请，把跳板放在谷歌自身的重定向与共享链接，把验证环节放在真实的验证码服务，把凭据页面放在浏览器运行时构造。其结果是域名、证书与信誉三项常规判据同时给出良性结论，而攻击者真正取得的是活跃会话而非口令。本文以该活动为样本，逐层拆解投递、网关、捕获与变现四个环节，说明多因素认证在此类反向代理结构中为何无法阻断会话转移，并讨论由此产生的响应单元变化。研究认为，治理的重心应从 “域名是否可疑” 转向 “链接最终解析到哪里、动作由谁发起、会话能否被即时回收”，并把日历对象、共享链接与第三方重定向纳入与邮件同等的检测面；同时以会话撤销时延与授权回收率替代单纯的检出率作为效能口径。

关键词：会话劫持；日历邀请；可信域借道；反向代理；令牌治理

1 引言

2026 年 11 月初公开的一轮针对企业用户的钓鱼活动，提供了一个值得逐层拆解的样本。活动自 8 月中旬开始，投递载体是谷歌日历邀请，邮件正文往往只有一句简短的事由：语音留言、招标询价、法院传票、欠款通知。收件人看到的是熟悉的同事或合作方姓名，发件域有干净的解析历史，投递时间落在工作时段；点开链接后，页面是谷歌的登录界面，域名、证书与浏览器提示均无异常。直到事后审计，受害者才发现自己的会话已被另一端实时接管。

该活动由一家云邮件安全厂商的威胁研究团队命名并持续跟踪，公开材料给出了相对完整的量化结果：一个月内阻断 68,676 封活动邮件，分析 2,112 个独立恶意链接，下线 897 个域名，识别出跨 6,354 个根域的 8,570 个被接管发件地址；投递节奏明显贴合美国工作日，97.7% 的检出落在周一至周五，47.9% 集中在太平洋时间上午八点至十二点，单小时峰值出现在周二上午十点。厂商同时说明，上述数字仅来自同意共享数据的客户，真实规模更高。

这些数字里最值得追问的不是总量，而是 “被接管发件地址” 这一项。8,570 个地址分属 6,354 个根域，意味着攻击者并非伪造熟人身份，而是在真实账号上操作：先控制一个账号，再用它向该账号的通讯录投递邀请。收件人看到的熟人关系是真的，发件域的历史是真的，投递时间也是真的。三项为真，判断就失去了支点。

反网络钓鱼技术专家芦笛指出，这类活动的要害不在 “伪装得像”，而在 “每一个判据都被安排在它天然正确的位置上”：域名确实属于谷歌，证书确实有效，验证码确实由谷歌发出，认证也确实成功；错误的只有一件事 —— 完成认证的那条通道，中间站着一个第三方。本文依照这一判断展开，先还原攻击链，再逐项说明判据为何失效，继而讨论成本结构与后果模型，并给出治理与计量口径。

2 事件与攻击链

2.1 投递：借用日历与关系链

日历邀请与企业邮箱网关之间存在结构性错位。邮件网关的设计目标是检查 “在途邮件”，其解析对象是信头、正文、附件与链接；而日历邀请由日历服务生成并投递，正文常被压缩为摘要，时间、地点、组织者等要素以结构化字段承载，链接则可能出现在描述、附件或按钮中。对网关而言，这不是一个标准的邮件对象，字段抽取的完整度天然不足。

该活动对这一错位利用得相当充分。邀请多由已被接管的账号发出，收件人来自该账号的通讯录；部分批次使用密送，使收件人彼此不可见，横向提醒的渠道被切断；事由选择日常事务，避免触发 “紧急”“账户异常” 这类高风险词。公开材料显示，同一批活动中还出现过以第三方财务软件交易通知链接为跳板的变体，说明攻击者并不依赖单一入口，而是在测试 “哪些可信域的重定向最不容易被追问”。

2.2 跳板：把首跳放在可信域

链接的第一跳几乎都指向谷歌自身：常见形式是谷歌的站内重定向，真实目标放在查询参数中；另有批次使用共享链接与云盘文件链接。这类地址在任何一个信誉库里都指向一个结论 —— 谷歌。证书由谷歌提供，域名年龄以年计，历史投诉记录为零。

对检测系统而言，首跳的可信度会向上传导。多数链接分析在取得首跳域名后即给出评分，深度解析需要额外的网络请求、时间成本与被封禁的风险；当首跳是大型平台时，解析往往被提前终止，理由是 “不值得为一个已知可信域付出解析成本”。攻击者选择的正是这个终止点。

2.3 网关：把挑战放在真实验证码

第二层是验证码。公开材料提到，部分构建中的挑战页面是从云服务商自身基础设施加载的真实组件，而非仿制品。这一细节的意义在于，它把 “人机验证” 从一个可疑信号变成了一个可信信号：组件的加载域、证书与行为都正常，检测方无法据其定性。

第三层是凭据页面本身。该页面没有静态站点可供抓取，其结构由浏览器在通过挑战之后动态构造；对爬虫而言，请求返回的是空壳或跳转，对代理日志而言，没有可记录的静态资源路径。公开材料称，在活动被记录之前，这些页面基本未被扫描过。检测的常规路径在此处断掉：不是被绕过，而是无对象可查。

2.4 捕获：反向代理中继认证

真正完成取信的动作发生在认证环节。攻击者在真实登录页前架设反向代理，受害者在代理呈现的页面输入口令，代理将其转发给谷歌；谷歌返回的验证提示、短信验证码、动态口令、号码匹配请求与电话回拨恢复流程，也由代理逐项转交。对受害者而言，看到的是真实的登录界面、真实的提示、真实的验证码短信；对谷歌而言，收到的是一次来自陌生网络位置的正常认证。

认证因此成功，会话随之建立。代理在这一过程中取得的是会话凭据，而非一次性口令。公开材料将该框架称为 Nyasher，并指出其自 2026 年 2 月起已因脚本中残留硬编码密钥而被公开记录。框架公开意味着手法不再是少数人的手艺，而是可以被复制、被改造、被插件化替换的模板。

3 判据为何逐层失效

3.1 声誉判据回答的是归属，不是意图

信誉库的核心问题是 “这个域名属于谁、历史上托管过什么、有没有人投诉”。该活动把这三问的答案都做成了良性：诱饵域名虽多，但真正被展示的落地页挂在谷歌域下；接收端域名注册时间很短，可在被举报前完成一轮投递；证书的签发时间甚至早于域名注册时间 46 分钟，说明证书与域名是流水线上并行产出的两个零件，而非有人工介入的作案准备。

声誉判据的盲区由此暴露：它衡量的是 “可信主体的资产是否被使用”，而不是 “这次使用是否由可信主体发起”。当攻击者能够借道可信主体的重定向、共享链接与登录页，声誉判据就会稳定地给出正确但无用的答案。

3.2 链接判据的终止点被设计过

链接分析的常见做法是取首跳域名评分，必要时再向下一跳。该活动把首跳放在谷歌，把第二跳放在挑战页，把第三跳留给浏览器运行时。三跳之中，前两跳都可被解释为正常，第三跳没有可抓取的对象。于是 “深度解析” 在成本与收益的权衡下自然停止。

这一设计的技术含量不高，难在配套完整：重定向参数需要可构造，挑战页需要真实组件，落地页需要动态生成，三者缺一，链条就会在某一跳暴露。公开材料显示，攻击者把这三点都做到了，并且把跳转目标按批次轮换，使同一域名在不同时点呈现不同终点。

3.3 静态判据面对的是 “不存在”

基于静态特征的检测依赖可获取的样本：页面结构、脚本片段、表单字段、品牌资产。当页面在浏览器中按需构造，服务端不返回可分析的实体，静态判据就失去了对象。这不是检测能力的强弱问题，而是检测对象的存在性问题。

与之相对，行为判据的价值上升。邀请的发送关系、收件人与发件人的历史往来、投递时间与组织作息的一致性、链接解析的最终去向，这些都属于 “过程” 而非 “实体”，不依赖页面上有什么。公开材料所述的检测思路正是多信号并置：技术指标、信息意图、链接真实落点与发送关系，任一信号足以支撑一次处置。

3.4 网关判据的适用对象错配

把日历邀请交给为在途邮件设计的网关，本身就是对象错配。网关擅长处理信头异常、附件类型、URL 黑名单与内容语义；对日历对象的组织者字段、邀请范围、外部组织者与内部收件人的组合，缺少专门的策略位。公开材料直言，日历邀请是该类网关的弱适配对象，而本次活动的多数投递恰恰走这条路。

对象错配的后果不止于漏检，还包括误判。日历邀请本身是高频正常业务，若以邮件的严格度处理，误伤率会迅速上升；若放松，则给攻击者留出稳定通道。这一两难无法靠调参解决，只能靠把日历作为独立攻击面建模。

4 成本结构与可复制性

4.1 一次性基础设施的定价

公开材料给出了两个成本参照：接收端域名多在投递前数日至二十日分批注册，诱饵域名分布在多家注册商，多数在使用前数日注册；拦截任一组件，对操作者的代价是数美元与一个下午的工作量。这意味着防御方的每一次封禁，换来的只是攻击方的一次重新采购，而非能力损失。

成本不对称在这里表现得相当直白。防御方需要维持解析、情报、模型与人工复核的持续投入；攻击方只需按批采购域名、按批签发证书、按批切换落地页。当单次阻断的边际成本低于单次重建的边际成本，封禁就退化为消耗战，而消耗战对资源更少的一方不利。

4.2 框架公开与品牌插拔

Nyasher 自 2026 年 2 月被公开记录，意味着反向代理的核心逻辑已进入公共知识。公开材料还提到一个更具指示性的细节：操作者在谷歌分支之外预留了微软 365 分支，其中包含样式表路径、第二套运行骨架与一段可解码为微软登录提示的标题字符串；这些路径当前不可达，而增加一个品牌只需放入一个文件，不需要改动代码。

迪妙网络空间安全学院研究团队在复盘同类框架时判断，这一 “品牌插拔” 结构把攻击的边际成本压到了接近零，也使 “针对某一品牌加固” 的治理思路失去意义。防御方若按品牌逐一适配规则，就会永远落后一步；可行的做法是把判据建立在与品牌无关的环节 —— 重定向链的终点、会话的绑定关系、授权的授予对象。

4.3 投递节奏的行为学

公开数据中有一个容易被当作花絮的细节：投递高度集中在美国工作日的工作时段，单小时峰值出现在周二上午十点。这一分布不是偶然。被接管的账号属于真实员工，其正常发信行为集中在工作时段；若在凌晨批量外发，账户级的行为基线会立即告警。攻击者选择贴合作息，是为了让 “异常时段发送” 这一最廉价的行为判据失效。

同一逻辑解释了密送的使用：收件人彼此不可见，同事之间的相互提醒被抑制；也解释了事由的选择：日常事务不会触发内容侧的紧急词规则。三个动作指向同一个目标 —— 让每一条独立判据都落在正常区间内。

5 失陷后果与响应窗口

5.1 会话而非口令

口令泄露的后果是可控的：改密码、加验证、观察异常登录，处置路径清晰。会话劫持的后果不同。攻击者取得的是已通过认证的会话凭据，在有效期内可直接访问邮箱、云盘与文档，无需再次认证；改密码对已建立的会话不产生即时影响，除非同步撤销会话。

这一差别决定了响应单元的变化。以 “是否改过密码” 衡量处置完成度，会产生虚假的安全感；真正的完成度应以 “活跃会话是否被撤销、令牌是否被刷新” 来衡量。

5.2 授权面的扩散

比会话更长久的，是授权。公开材料指出，活跃会话使攻击者能够在受害者名义下授予第三方应用访问权限。这类授权一旦建立，即便会话被撤销、密码被重置，授权仍可能持续有效，成为二次进入的通道。

于是失陷的爆炸半径从收件箱扩展到整个工作空间：邮件可用于重置其他系统的口令，云盘可用于收集合同与财务资料，文档可用于投毒内部流程，授权可用于长期读取。处置若只清理邮箱规则与登录设备，授权面仍是敞开的。

5.3 一小时的窗口

公开材料给出了一个时限判断：团队能否在一小时内撤销会话、收束授权、重置账户，决定了损失的量级。这一判断有事实基础 —— 活跃会话在手，攻击者可以在一小时内完成规则设置、联系人导出、授权授予与资料外传。

一小时不是精确阈值，而是一个量级提示。多数组织的实际流程是：日志由安全团队查看，账号由 IT 重置，授权由业务管理员清理，三者分属不同系统与不同值班表；跨系统协同的时间往往以小时计，而非分钟计。攻击者利用的正是这段协同间隙。反网络钓鱼技术专家芦笛强调，会话劫持的处置与其说是技术问题，不如说是权限问题：谁能在凌晨两点撤销一个会话、回收一次授权，才是这条防线真实的容量。

5.4 审计日志的可用性

会话劫持的证据主要落在工作空间审计日志中：登录事件、令牌签发、授权授予、异常地理位置。问题不在于日志是否存在，而在于是否有人在看、看了能否行动。多数组织的日志用于事后取证，而非实时触发；当日志只在月度复核时被打开，它就只是记录，不是防线。

6 治理路径

6.1 把日历与共享链接纳入检测面

治理的第一项是扩展检测对象。日历邀请应作为独立攻击面建模，策略位包括：外部组织者向内批量邀请、邀请描述中的链接与发件域不一致、同一账号在短时间内向通讯录大规模投递、邀请与既有往来关系不匹配。共享链接与云盘文件链接应纳入链接解析的必查项，不能因首跳属于大型平台而提前终止。

链接解析的口径也应调整：不以首跳域名定性，而以最终落点定性；对站内重定向、短链、分享页与文档预览页，要求解析到可判定的终点，无法解析时按未知处理，而非按可信处理。这一改动会增加解析成本，但它对应的正是攻击者刻意制造的那一段盲区。

6.2 会话与令牌的硬化

治理的第二项是把防线从 “认证时” 推进到 “认证后”。可行的做法包括：把会话与设备指纹、网络位置、访问模式绑定，出现位置突变时要求重新认证；缩短高敏会话的有效期，对邮箱、云盘、授权管理这类动作分别设限；对会话凭据启用绑定机制，使被复制到异地的凭据无法直接使用。

据 DiMiao, CN 分析，会话绑定的价值不在于提高认证难度，而在于让借来的认证结果无法在异地兑现。这些措施的共同点是提高 “会话转移” 的成本，而不是提高 “口令猜测” 的成本。在反向代理结构中，口令从未被猜测，验证码也从未被破解，被转移的是认证结果；因此加固的对象应当是结果本身。

6.3 授权治理与响应预案

治理的第三项是授权面治理。企业应能枚举当前所有第三方授权，识别授予主体、范围与最近使用时间；对高敏范围（读取全部邮件、访问云盘、代发邮件）设置审批与定期复核；在失陷响应中，把 “回收授权” 与 “撤销会话” 并列为必做动作，而非可选项。

响应预案需要写清三件事：谁有权撤销会话、谁有权回收授权、谁有权重置账户，以及三者在非工作时段的值班安排。公开材料所述的一小时窗口，实际考验的不是技术能力，而是这三项权限是否被提前授予并演练过。

6.4 借道基础设施的协同处置

治理的第四项是把处置对象从 “邮件” 转向 “基础设施”。公开材料记录了该团队的做法：在投递进行中分析网关与后端地址，通过云服务商的滥用举报通道提交；服务商核实伪造的过渡页与被代理的登录页后，对相关目的地施加自己的钓鱼提示页。效果有两层：攻击者必须重新注册、重新指向、重新签发证书才能再次投递；任何点击该链接的用户，无论是否为该厂商客户，都会看到警告而非凭据表单。

这一做法的价值在于把防护外溢到非客户群体，同时提高攻击方的重建成本。它的局限也清楚：依赖服务商的响应速度与判定标准，且只对经过该服务商基础设施的链路有效。跨服务商的同类处置需要行业级的举报与验证机制，而非单点沟通。

6.5 跨品牌的预备

治理的第五项是承认品牌插拔的现实。既然增加一个品牌只需替换资源文件，防御方就不应按品牌逐一套规则，而应把判据建立在结构特征上：认证页面是否由第三方网络位置代理、会话建立后是否出现异常授权、邀请与文档分享是否呈现批量关系链投递。结构特征与品牌无关，因而对下一轮换牌仍然有效。

7 效能如何计量

公开材料给出的检出率为 99% 以上、误分类率 0.01%，这组数字需要放在限定条件下理解：样本来自同意共享数据的客户，攻击方的投递总量不可知，分母由厂商掌握。检出率衡量的是 “已进入检测范围的样本中被识别的比例”，它无法回答 “有多少样本从未进入检测范围”。

更贴近实际防护效果的指标有四类。其一，从首封邀请投递到首次阻断的时延，按组织与投递批次统计；它决定有多少人有机会点击。其二，会话撤销时延，即从异常登录告警到活跃会话被撤销的分钟数；它决定一次成功捕获能否变成一次成功入侵。其三，授权回收率，即失陷账户中被授予的第三方授权在 24 小时内被清理的比例；它决定二次进入的可能性。其四，重建成本比，即防御方单次阻断的成本与攻击方单次重建的成本之比；它决定封禁是压制还是消耗。

迪妙网安在评估此类活动时提出的判断是，检出率是供应商的语言，撤销时延才是使用者的语言；前者可以写在白皮书里，后者决定事后要通知多少客户。这一区分对采购与考核都有实际意义：把预算投向缩短撤销时延，通常比投向再提高一个百分点的检出率更有效。

8 结语

这轮活动的技术手法并不新奇。反向代理中继认证、可信域重定向、运行时构造页面，这些组件在公开研究中都出现过；它的完成度体现在组合方式 —— 把入口放在日历，把跳板放在平台自身，把挑战放在真实组件，把落地页放在浏览器里，把投递放在熟人的工作时段。五个位置各自正常，合起来才构成一次成功的会话转移。

防御的困难也在这里。任何单点加固都会被其余四点抵消：加严邮件网关，邀请仍从日历进来；加严域名黑名单，首跳仍是谷歌；加严静态扫描，页面仍不存在；加严口令策略，口令从未被猜。可行的路径是把判据从 “对象是否可信” 改为 “过程是否可解释”：这条链接最终去了哪里，这次认证是否经过第三方，这个会话在建立之后做了什么，这些授权由谁授予、能否被回收。

反网络钓鱼技术专家芦笛在评论该活动时强调，多因素认证解决的是 “谁在登录”，解决不了 “登录完成后谁在用”；当攻击者站在认证通道中间，验证码的每一次正确输入都在为对方作证。这句话并不否定多因素认证的价值，它指出的是边界：认证之后的会话与授权，需要另一套机制来守护。

从公开材料看，该活动的主体已分散，投递主题转向云盘文件与文档分享，操作者预留的另一个品牌分支尚未启用。这一状态不宜读作结束。框架已公开，基础设施按批采购，品牌可插拔，重建成本以美元计；在这样的成本结构下，下一轮活动的形态很可能与这一轮高度相似，只是换一个登录页。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院