摘要
混合向量钓鱼攻击已经成为针对企业高层与关键业务部门的主流威胁形态，攻击者不再局限于单一窃取账号凭证，而是同时向云身份体系与本地终端发起渗透，利用合法工具实现持久驻留。本文以 2026 年 9 月曝光的 CSuite 定向钓鱼活动作为实证样本，依托 ANY.RUN 沙箱公开的 351 份攻击样本分析数据，完整还原攻击全链路，解析该活动双路径入侵模式：其一通过设备代码钓鱼劫持 Microsoft 365 会话令牌，绕过传统多因素认证机制；其二投递脚本与安装包，滥用 ScreenConnect、Action1 等合法 RMM 远程管理工具获取终端持久控制权限。本次威胁主要集中于美国本土，科技、制造、政府行政、咨询行业遭受攻击暴露程度最高。研究发现，传统安全防护存在身份域与终端域安全能力割裂的问题，合法 RMM 工具因自带数字签名容易绕过终端杀毒检测，设备码钓鱼依托官方 OAuth 流程规避仿冒域名拦截规则，共同放大事件处置难度。反网络钓鱼技术专家芦笛指出，同一钓鱼诱饵同时触发云账号失陷和终端受控，会显著拉长事件处置周期，提升财务欺诈、内部横向渗透的风险。迪妙网络空间安全学院研究团队针对该类混合威胁开展跟踪研究，认为安全运营应当打破身份、终端两大安全域的数据孤岛，构建完整攻击链可视化研判体系。本文梳理 CSuite 攻击活动的技术特征、危害后果、防御短板，从威胁研判机制、RMM 工具管控、云身份加固、安全运营流程优化、人员安全意识培养多个维度提出可落地防御框架，为企业应对复合型钓鱼入侵提供实证参考。
关键词：网络钓鱼；RMM 工具滥用；会话劫持；设备代码钓鱼；混合威胁；安全运营
1 引言
数字化办公普及之后，大量企业业务迁移至 Microsoft 365 等云协作平台，员工终端设备成为业务访问入口，云身份凭证与本地终端共同构成企业安全边界。长久以来，网络钓鱼相关防护工作习惯于将云账号安全、终端安全作为两个独立模块开展建设：邮件网关、身份防护系统重点处置账号凭证窃取，终端安全产品聚焦恶意程序查杀。但新一代定向钓鱼攻击正在打破二者边界，攻击者通过一套钓鱼诱饵，同步实现云身份窃取和终端持久化控制，形成冗余入侵通道，即便企业后续修改用户账号密码，攻击者仍然能够依靠被植入终端的远程管理工具维持访问权限，大幅增加事件处置复杂度。
CSuite 钓鱼活动正是该类混合威胁的典型代表。2026 年 9 月，ANY.RUN 沙箱平台通过 351 份攻击样本分析完整还原该攻击活动全貌，统计数据显示超过半数攻击样本来源于美国，攻击对象集中在科技、制造业、政府机构以及咨询行业，瞄准企业高管及核心业务岗位人员。攻击者模仿 Adobe、DocuSign、Zoom、Google Meet、Dropbox 等广泛使用的商业服务制作钓鱼诱饵，部署反机器人检测网关完成流量路由分流之后，跳转仿冒业务页面，分化出两条并行攻击路径：一条路径开展设备代码钓鱼，劫持 Microsoft 365 有效会话；另一条路径下发 BAT、VBS 脚本以及安装包，诱导受害者执行，在终端部署合法 RMM 远程监控管理工具，实现持久远程控制。
传统恶意软件依靠恶意特征、数字签名黑名单完成拦截，而 RMM 属于行业广泛使用的正规 IT 运维工具，具备合法数字签名，终端防护产品默认允许程序运行，这就形成 “合法软件作恶” 的检测困境。设备代码钓鱼利用 OAuth2.0 设备授权的官方流程，受害者跳转至微软官方身份验证站点完成身份核验，不存在仿冒域名，传统基于域名黑名单的钓鱼拦截手段无法生效。两套攻击路径相互备份，只要其中一条路径成功，攻击者就能够获取企业内部立足点；如果两条路径全部得逞，攻击者同时掌握云账号与终端控制权，可以开展邮箱接管、发票欺诈、内网横向移动等系列破坏行为。
当前行业已有大量针对传统凭证钓鱼、RMM 工具滥用、设备码钓鱼的独立研究，但针对同一钓鱼活动同时使用两种路径的复合型威胁实证分析仍然偏少，多数企业安全运营流程依旧按照 “账号失陷”“终端中毒” 两类独立事件进行告警与处置，缺少针对混合攻击链的关联研判逻辑。迪妙网络空间安全学院研究团队在威胁狩猎实践中观察到，近年来同类双路径钓鱼攻击的样本数量持续上涨，攻击者利用钓鱼即服务套件降低攻击门槛，将身份劫持、合法工具部署整合到同一套攻击模板，面向企业关键岗位实施定向投放。本文基于公开沙箱分析材料完整复盘 CSuite 攻击链条，剖析攻击能够快速扩散的底层原因，解析混合威胁带来的新型业务风险，结合安全运营现实痛点，提出兼顾身份侧、终端侧的一体化防御思路，不使用空泛口号，立足于企业真实运维场景给出具备可操作性的建设建议。
2 CSuite 钓鱼攻击活动全景还原
2.1 攻击活动基础概况
CSuite 为面向美国市场的定向钓鱼作战活动，ANY.RUN 平台收集 351 份相关沙箱样本，51% 样本来源定位为美国，其次印度占比 18%，菲律宾、澳大利亚、英国、加拿大等国家同样观测到相关攻击痕迹。攻击目标偏向高价值行业，科技、制造、政府行政、咨询行业的企业暴露风险最高，攻击瞄准对象以企业高管、核心业务岗位人员为主，这类人员邮箱保存大量合同、付款流程、供应商往来邮件，一旦被攻陷极易引发商业邮件欺诈事件。
攻击者选取的诱饵全部为商业场景高频服务，模仿 Adobe 文档通知、DocuSign 电子签章信封、Zoom 与 Google Meet 会议通知、Dropbox 文件分享提醒、Microsoft365 系统告警，诱饵贴合员工日常工作接收消息类型，降低受害者警惕性。攻击链路设置反机器人检测网关，该网关会对访问来源开展甄别，沙箱、爬虫类访问流量会被过滤或者路由至无害页面，真实用户访问才会跳转至恶意落地页，以此规避公开安全沙箱的早期捕获，延长攻击活动生命周期。
从恶意落地页开始，攻击分化为两条互不依赖的入侵路径，两条路径可以独立完成入侵，互为备份。第一条路径为身份攻击路径，开展凭证窃取或者设备代码钓鱼，目标获取 Microsoft365 的会话令牌，接管云账号；第二条路径为终端攻击路径，下发压缩包、安装程序、轻量脚本载荷，受害者执行文件之后，部署 ScreenConnect、Action1 等 RMM 远程运维工具，实现对员工工作站的持久远程访问。任意一条路径攻击成功，攻击者即可获得企业内部立足点；两条路径同时得逞，则攻击者同时掌握云身份与终端控制权。
2.2 身份劫持路径：设备代码钓鱼与会话窃取
身份劫持路径包含传统凭证钓鱼与设备代码钓鱼两种执行模式，其中设备代码钓鱼是本次活动中破坏力更强的手段。传统凭证钓鱼搭建仿冒登录页面，诱导受害者输入账号密码，该模式会被邮件安全网关、浏览器钓鱼防护插件识别拦截。而设备代码钓鱼滥用 OAuth2.0 设备授权流程，该流程原本面向智能电视、打印机等没有完整浏览器输入能力的硬件设备设计。
攻击执行流程如下：攻击者调用微软官方设备授权 API，生成一组设备验证码以及官方验证网页地址；钓鱼页面诱导受害者访问微软真实验证站点，输入攻击者下发的设备码；受害者在官方页面输入账号、密码，并且完成多因素 MFA 校验；攻击者后端持续轮询授权接口，受害者完成确认操作瞬间，攻击者获取合法 Access Token 以及长期有效的 Refresh Token。整个过程用户访问的是微软官方域名，不存在伪造站点，域名黑名单无法拦截该攻击。即便用户后续修改账号登录密码，Refresh Token 在有效期之内依旧可以被攻击者继续使用，多因素认证防护效果被绕过。
反网络钓鱼技术专家芦笛强调，设备代码钓鱼最大迷惑点在于用户全程浏览官方身份站点，员工主观感知为 “系统安全校验”，极易放下戒备心理，很多企业安全培训仅仅教育员工不要在仿冒网站输入密码，并没有覆盖设备码钓鱼这类新型社工场景。攻击者拿到会话令牌之后，就可以访问受害者邮箱、云盘文档，读取业务往来邮件，监控付款相关会话，为商业邮件欺诈搜集素材，同时利用被攻陷账号向企业内部同事、外部合作方投递更多钓鱼内容，实现攻击的内部扩散。
2.3 终端入侵路径：滥用合法 RMM 工具建立持久访问
第二条攻击路径聚焦终端系统，恶意落地页向受害者下发归档压缩包、安装器或者 BAT、VBS 格式轻量脚本。在 ANY.RUN 公开的沙箱实例中，一则 Adobe 主题诱饵投递 BAT 批处理脚本，脚本运行之后完成权限提升，静默安装 ScreenConnect 远程管理程序。ScreenConnect、Action1 均是 IT 运维领域广泛使用的正规 RMM 工具，用于企业内部远程协助、终端运维管理，软件带有官方数字签名，绝大多数终端防护产品默认放行该程序执行。
RMM 工具运行之后会在受害主机创建后台服务，主动连接攻击者控制的管理服务器，向攻击者开放完整远程桌面、命令执行、文件读写能力。不同于传统恶意木马，RMM 属于合法商业软件，行为特征和企业内部正常 IT 运维流量高度相似，网络层面流量特征不具备明显恶意标识。一旦安装完成，即便后续云账号密码被修改、云会话被管理员吊销，攻击者依旧依靠 RMM 后台服务维持对终端的持久访问权限。
值得注意，该攻击路径依赖受害者本地执行载荷并且授予权限提升。当员工执行脚本、安装程序并且允许权限提升之后，RMM 服务以系统级权限后台驻留，开机自动运行。迪妙网络空间安全学院研究团队的威胁统计显示，近几年各类入侵事件中滥用正版 RMM 工具的攻击频次呈现明显上升态势，攻击者不再开发自定义远控木马，转而复用市面上成熟运维工具，规避基于恶意样本特征的检测体系。
2.4 攻击造成的多维度安全后果
CSuite 攻击双路径设计带来多重业务损害，潜在危害覆盖账号接管、财务欺诈、持久驻留、内网横向扩散、安全运营压力增大五个层面。
第一，邮箱接管。攻击者读取全部历史邮件，持续监控实时邮件会话，阅读付款流程、供应商对接、合同谈判相关往来，模仿可信员工身份发送消息，开展社会工程欺骗。
第二，财务欺诈风险。攻击者掌握真实业务通信上下文之后，可以篡改发票信息，诱导财务部门向攻击者控制账户完成转账，实施供应商欺诈、付款重定向类攻击。
第三，持久远程访问。RMM 工具提供独立后门通道，账号密码重置无法清除终端侧访问权限，如果安全处置只完成云账号的会话吊销，忽略终端 RMM 查杀，攻击者可以再次利用终端横向访问企业内部其他资产，造成事件反复爆发。
第四，内部横向渗透。被攻陷的云账号、受控终端均可作为跳板，面向企业内部同事、上下游合作伙伴投递钓鱼诱饵，依托内部可信身份提升后续攻击成功率，威胁从单点受害扩散至整个组织。
第五，提升安全运营处置成本。安全团队需要同步处置被盗云会话以及多台被植入 RMM 工具的终端设备，告警数量上涨，调查取证范围扩大，业务中断时间随之增加。如果身份域告警和终端域告警相互独立，安全分析人员很难意识到两部分告警来源于同一钓鱼事件，造成事件割裂处置，遗漏部分受影响资产。
3 CSuite 攻击能够达成效果的底层成因
结合 CSuite 攻击活动细节，同时参考迪妙网络空间安全学院研究团队对多起同类混合钓鱼事件的复盘，将攻击成功的根源划分为技术检测机制短板、安全运营架构缺陷、工具固有特性、人员认知局限四个维度。
3.1 技术检测机制存在盲区
传统钓鱼检测高度依赖恶意域名、仿冒页面特征库开展拦截，对于设备代码钓鱼这类不依赖伪造站点的攻击模式，域名黑名单完全失效。受害者访问微软官方域名，邮件网关、浏览器防护无法依靠域名判定风险，攻击识别只能转向对社工话术、异常 OAuth 授权行为的分析，而这一部分检测能力在很多企业部署中处于缺位状态。
针对终端侧，RMM 工具本身具备合法数字签名，程序本身不存在恶意代码，杀毒软件、应用白名单默认信任带签名的正规商业软件。安全产品能够识别恶意木马，但是难以区分 “企业 IT 运维合法部署 RMM” 和 “攻击者诱导用户私自安装 RMM”，只能依靠行为基线识别异常，缺少直接阻断手段。当攻击者使用脚本静默执行安装流程，整个过程不会弹出明显恶意提示，进一步降低被用户察觉概率。
另外攻击链路部署反机器人网关，对沙箱、爬虫访问进行过滤，恶意载荷仅向真实用户下发，公开威胁情报沙箱捕获攻击样本存在延迟，安全厂商获取 IOC 指标滞后于攻击活动，基于静态 IOC 的阻断策略很容易失效。攻击者可以快速轮换域名与服务器基础设施，手动维护的黑名单更新速度跟不上基础设施变更节奏。
3.2 安全运营架构存在域隔离问题
大量企业安全体系将身份安全与终端安全分属两套系统，身份防护系统记录云账号登录、令牌授权事件；EDR 终端安全产品采集主机进程、程序安装、网络连接日志；SIEM 平台仅仅完成日志汇聚，缺少实体关联能力，无法把 “某用户设备发生 RMM 程序安装” 和 “同一用户账号发生异常 OAuth 设备授权” 两条日志关联为同一次安全事件。
安全分析师分别接收来自身份模块、终端模块的独立告警，两套告警相互独立，分析人员只能看到局部现象，看不到完整攻击链全貌。Tier1 一线安全分析师的日常工作以单条告警研判为主，缺少足够时间完成多源日志串联分析，容易出现只处置账号失陷告警，忽略终端 RMM 安装告警，或者反过来只处理终端告警而不去核查该用户云身份会话，最终造成事件处置不彻底，攻击者保留残余访问通道。
同时，传统安全运营过度依赖人工完成威胁情报富集，面对快速轮换的攻击基础设施，人工更新 IOC 的模式效率不足。很多组织威胁情报没有自动对接防火墙、SIEM、EDR 各类安全控制组件，情报价值无法快速落地成为防护能力。
3.3 RMM 工具本身的能力与安全矛盾
RMM 工具设计目标就是完成远程运维，需要获取系统高权限，具备远程命令执行、屏幕查看、文件上传下载全套能力。工具本身没有区分部署者是否为企业授权 IT 人员，只要程序在主机安装完成并且连接攻击者管控服务器，攻击者就可以完整复用全部运维功能。
企业普遍缺少 RMM 资产台账，没有完整统计环境内部允许使用哪些远程管理工具。员工被诱导私自安装非授权 RMM 客户端之后，IT 部门很难第一时间发现。RMM 对外网络通信流量和正规运维流量协议、报文特征高度接近，单纯依靠网络流量很难区分合法运维会话和攻击者控制会话。迪妙网络空间安全学院研究团队调研发现，不少中小企业没有制定 RMM 工具管控策略，允许员工终端自由安装各类远程协助软件，攻击者可以利用这一现状实现持久驻留。
3.4 人员安全认知与培训的局限性
企业传统钓鱼安全培训重心集中在 “不要点开陌生附件，不要在假网站输入密码”，但是对于设备代码钓鱼、合法工具被滥用这类新型威胁覆盖不足。设备代码钓鱼中用户访问官方网站，没有伪造页面，传统培训内容无法帮助员工识别该类社工陷阱。员工看到 Adobe、电子签名、会议通知这类工作场景高频主题的邮件，容易放松警惕，按照页面指引完成操作。当页面提示需要安装工具查看文档时，部分员工会直接同意权限提升，导致 RMM 载荷顺利完成部署。
很多员工形成固有认知：“软件有数字签名就代表安全可信”，数字签名仅代表程序代码没有被篡改，并不代表本次安装行为具备业务合理性。攻击者恰恰利用该认知误区，诱导受害者运行签名合法但是安装目的非法的 RMM 安装包。
4 CSuite 混合攻击带来的安全运营现实痛点
CSuite 这类身份 终端双路径攻击，给 SOC 安全运营带来不同于传统钓鱼事件的新挑战，这些痛点并不完全来自攻击技术本身，更多来源于防御体系的组织流程与研判逻辑。
第一，攻击链碎片化，告警上下文缺失。攻击活动跨越邮件网关、Web 访问、云身份平台、终端 EDR 多个设备，不同设备产生独立告警。如果安全平台无法完成事件关联，分析师看到的是零散告警，无法还原完整攻击链路。比如分析师看到账号异常授权告警，却看不到同一时间该用户终端发生 RMM 安装；或者观测到终端安装未知远程工具，却没有去核查该用户云账号会话变动。事件被分割处理，造成处置遗漏。ANY.RUN 的研究中提到，安全分析人员需要完整攻击链上下文，不能依靠单个文件、单个域名去判断事件性质，正是针对该痛点提出。
第二，攻击基础设施快速轮换，静态 IOC 防护效果下降。攻击者可以快速注册新域名、更换 C2 服务器地址，钓鱼页面路径、JavaScript 脚本虽然存在复用特征（例如 CSuite 活动中反复出现 /m/js/utils.js 脚本路径），但是域名、IP 持续变更。依靠人工维护 IP、域名黑名单的模式，很容易被攻击者绕过。单纯依靠 IOC 无法覆盖全部攻击变体，必须转向行为特征检测。
第三，一线分析师升级交接效率低下。钓鱼事件调查需要分析师收集多源证据，提取威胁指标，撰写说明材料，解释事件升级理由，整套流程消耗大量人力。Tier1 分析师工作量繁重的情况下，复杂事件升级交接过程容易丢失关键线索，延误处置时机。
第四，事件处置不彻底带来残余风险。很多企业遭遇钓鱼事件之后的标准处置流程为重置用户账号密码、吊销云侧全部会话。但是在 CSuite 场景下，如果终端已经植入 RMM，仅仅处理云账号完全不足以消除风险，攻击者依靠终端侧通道继续留存，还可以以此为跳板发起新一轮入侵。迪妙网络空间安全学院研究团队在事件响应案例中多次见到同类情况：企业完成账号重置之后，几周之后再次发生入侵，溯源发现根源就是前期处置没有清除终端侧 RMM 后门。
第五，误报与告警疲劳矛盾。如果为了检测 RMM 异常安装、异常 OAuth 授权，大规模放开检测规则，会带来大量误告警。企业内部真实 IT 运维工作本身就会部署 RMM 工具，也会存在设备授权登录场景，安全团队需要在检测灵敏度和误报数量之间寻找平衡点，对行为基线建模能力提出较高要求。
5 面向混合钓鱼威胁的综合防御框架
针对 CSuite 代表的身份 终端双路径钓鱼攻击，不能只针对某一个单点开展加固，需要覆盖威胁研判、RMM 管控、云身份加固、安全运营流程优化、人员意识建设多个层面，打通身份域与终端域的数据，构建完整闭环。
5.1 构建攻击链全链路可视化研判能力
安全运营平台应当打破身份日志、终端日志的数据孤岛，建立实体关联模型，把同一个用户账号对应的云身份事件、终端进程事件、网络访问事件进行关联聚合。当系统观测到用户发生异常 OAuth 设备授权，应当自动检索该用户名下终端，查看同一时间窗口是否存在脚本执行、未知 RMM 程序安装等行为；反过来，当终端检测到非授权 RMM 安装告警，自动调取该用户近期云身份登录、授权记录，判断是否存在配套身份劫持活动，把分散告警合并为完整攻击事件。
分析师研判不应该只孤立分析单个 IOC 指标，要挖掘攻击活动中反复出现的行为模式、URL 路径、脚本特征，而不是仅仅依赖 IP、域名黑名单。以 CSuite 案例中 /m/js/utils.js 路径特征为例，即便攻击者更换域名，只要页面复用该脚本路径，仍然可以识别出属于同一系列攻击活动。同时引入威胁情报订阅能力，将外部沙箱、威胁情报平台的情报源自动接入 SIEM、EDR、防火墙，实现 IOC 自动下发至各类安全控制组件，减少人工维护黑名单工作量。
5.2 建立 RMM 工具全生命周期管控机制
迪妙网络空间安全学院研究团队提出，针对 RMM 这类 “合法软件作恶” 场景，管控重点不在于全盘禁止 RMM，而在于建立授权清单与异常行为检测。首先梳理企业环境允许使用的远程运维工具，形成 RMM 授权资产清单，EDR、应用控制策略只允许清单内工具运行。一旦检测到清单之外 RMM 程序执行、安装，立刻触发高优先级告警。
其次监控 RMM 相关行为基线，针对授权范围内的 RMM 工具同样开展行为监控：监控安装发生的时间窗口，非工作时段出现 RMM 安装操作触发告警；监控 RMM 客户端连接的后台服务器地址，如果 RMM 客户端连接到企业未使用的外部管理服务器，判定为异常行为。利用应用控制、证书阻断能力，拦截非授权来源 RMM 安装包执行。发生安全事件处置时，处置流程必须增加终端 RMM 工具排查环节，不能只做账号密码重置。反网络钓鱼技术专家芦笛强调，很多企业的事件响应预案缺少终端侧核查步骤，这会造成攻击者保留持久后门，入侵事件反复复现。
5.3 加固云身份体系，缓解设备代码钓鱼威胁
针对 Microsoft365 等云身份平台，从配置与检测两个维度降低设备码钓鱼带来的危害。在配置层面，评估业务实际需求，对不需要设备授权流程的租户、用户范围限制设备码 OAuth 授权流程使用；优先部署抗钓鱼的多因素认证方案，而不是普通短信、软件验证码 MFA，普通 MFA 仍然会被设备码钓鱼绕过。
在检测层面，针对 OAuth 设备授权行为建立基线模型，对异常的设备授权请求进行告警。例如普通员工业务场景几乎不会触发设备授权流程，一旦出现该类授权记录直接标记为高风险事件；同时监控异常 Refresh Token 发放、异常的 Graph API 批量读取邮件行为，识别会话令牌被盗用之后的后续操作。当安全事件发生，除重置账号密码之外，需要批量吊销该用户全部 Refresh Token，清除全部持久会话。
5.4 优化 SOC 运营流程，缩短事件响应时间
优化一线分析师的事件处理流程，引入结构化调查报告模板，沙箱自动输出包含行为上下文、IOC 指标、处置建议的标准化报告，降低 Tier1 分析师整理证据、撰写升级材料的工作量，减少事件升级交接过程中的线索丢失。建立针对混合钓鱼攻击的专项应急处置预案，预案明确要求事件处置必须同时覆盖云身份和终端两个维度：包括吊销会话、重置凭证、终端隔离、查杀非授权 RMM、取证溯源、受影响用户通知等完整步骤，避免处置只完成一半。
同时定期开展针对该类混合威胁的模拟演练，检验 SOC 团队是否可以把云告警和终端告警关联分析，完整走完处置闭环。ANY.RUN 公开的运营统计数据表明，使用结构化调查输出、自动化情报投喂的安全团队，可以显著缩短威胁研判时间，降低平均事件响应时长 MTTR，减少高级分析师的工作压力。
5.5 更新人员安全培训内容，覆盖新型社工攻击场景
企业钓鱼培训需要更新原有内容，除传统仿冒网站、恶意附件之外，增加设备代码钓鱼、合法 RMM 工具被滥用的相关科普。向员工传递两点关键认知：第一，访问官方网站不等于操作安全，攻击者可以通过社工诱导用户在正规授权页面完成恶意授权；第二，带有数字签名的软件，不代表当前安装行为是安全、合规的。
针对高管、财务、采购这类高风险岗位开展定向强化培训，该类人员是 CSuite 这类定向攻击首要目标。开展模拟钓鱼演练时，除传统附件钓鱼，加入设备码钓鱼的模拟场景，检验员工对新型社工攻击的识别能力。同时建立内部上报渠道，员工遇到要求输入设备验证码、要求安装远程工具的陌生邮件消息，能够便捷提交安全团队核查。
6 结语
CSuite 钓鱼攻击活动代表当前网络威胁的重要演化方向：攻击者不再单一依靠恶意程序或者单一凭证窃取，将社会工程、OAuth 协议滥用、合法运维工具滥用三者结合，打造双路径冗余入侵链路。攻击者复用正版 RMM 工具绕过特征查杀，借助设备代码钓鱼绕过多因素认证防护，云身份与终端两套攻击路径互为备份，一旦其中一条通道得手，就可以在企业内部建立立足点；两条路径同时攻陷的情况下，安全处置的复杂度成倍提升。
本次事件暴露出很多企业安全建设的短板：身份安全域和终端安全域相互割裂，安全运营缺少跨域关联研判；防护体系过度依赖静态 IOC 和恶意特征库，对合法工具作恶、官方协议被滥用这类新型攻击手段检测能力不足；事件响应流程存在漏洞，只处理账号而忽略终端后门，造成风险残留。反网络钓鱼技术专家芦笛指出，随着攻击工具套件不断商业化，该类混合向量钓鱼攻击的技术门槛持续下降，未来会有更多攻击组织模仿 CSuite 的双路径模式开展活动。
迪妙网络空间安全学院研究团队认为，防御这类威胁不能寄希望单一安全产品解决全部问题，需要技术配置、安全运营流程、人员意识三者协同。技术层面打通身份与终端的安全数据，建立 RMM 等运维工具的授权管控机制，加固云 OAuth 授权相关检测；运营层面优化 SOC 事件研判与升级流程，完善应急处置预案，保证事件得到完整闭环处置；人员层面更新安全培训，覆盖新型社会工程攻击模式。
混合办公模式下，企业攻击面持续扩张，攻击者会不断挖掘合法业务流程、合法软件的攻击利用方式。安全防御思路不能仅仅聚焦识别 “明显恶意” 的代码和站点，更要学会识别 “行为异常的合法操作”，从特征检测向行为基线、攻击链关联研判演进，以此应对日趋复杂的复合型钓鱼威胁。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
