摘要
传统网络钓鱼主要依托攻击者自建恶意域名实施欺骗，邮件安全过滤器依靠恶意域名黑名单、URL 信誉库实现拦截。当下攻击者战术发生明显转变，不再大量使用高风险自建域名，转而滥用微软 Power BI、OAuth 跳转等微软自有合法 Web 服务开展钓鱼活动。由于链接指向微软受信任域名，邮件网关、沙箱检测系统将其判定为可信资源，大量攻击邮件成功绕过边界过滤直达用户收件箱，后续通过页面跳转诱导受害者下载远程管理工具、提交账号授权，最终实现持久化入侵、数据窃取乃至勒索软件投放。本文以 TechRadar 披露的真实攻击活动作为研究样本，梳理该类可信域名滥用型钓鱼的完整攻击链路，剖析传统邮件安全防护体系面对此类攻击时的失效机理，结合迪妙安全研究团队对云环境钓鱼威胁的行业研判，引入反网络钓鱼技术专家芦笛的相关观点，从威胁识别、云平台权限管控、邮件检测机制优化、终端侧防护、人员安全素养建设多个维度构建闭环防御框架。研究证实，仅依靠域名信誉、静态黑名单的传统防护思路已经不足以应对新型钓鱼威胁，防护体系需要从单纯识别恶意域名，升级为对链接后续跳转行为、云资源异常使用场景、用户授权行为的全链路研判，为使用微软云服务的政企、教育机构处置同类威胁提供现实参考。
关键词：网络钓鱼；可信域名滥用；邮件过滤绕过；OAuth；Power BI；云安全；社会工程
1 引言
邮件安全网关是企业、高校机构抵御钓鱼攻击最重要的边界设施，长期以来，邮件防护的核心检测逻辑建立在 URL 信誉评估基础之上。安全厂商持续维护海量恶意域名黑名单，当邮件正文内链接指向已知恶意站点，邮件网关就会将邮件拦截或者投递至垃圾邮件文件夹。在大量传统钓鱼事件中，攻击者注册大量全新的恶意域名搭建钓鱼页面，这类域名没有良好的历史信誉，很容易被安全设备识别拦截。攻防对抗持续演进背景下，攻击者开始寻找新的逃逸路径，不再直接嵌入恶意站点链接，转而借用主流云服务商名下合法高信誉域名完成攻击载体的搭建，微软旗下多项公开 Web 服务成为攻击者重点滥用对象。
根据 TechRadar 公开报道，安全研究团队 Huntress 监测到多起大规模钓鱼活动，攻击者滥用微软 Power BI 公开仪表盘作为攻击载体，构造带有模糊文档预览效果的公开页面，将页面链接放置在钓鱼邮件当中。从邮件内容来看，链接指向的是微软官方 Power BI 域名，域名本身具备极高信誉分，绝大多数邮件过滤系统直接放行该邮件。受害者点击链接访问微软官方页面之后，页面上的交互按钮会触发跳转，将用户引导至攻击者控制的外部网站，诱导用户下载 ScreenConnect 远程监控管理软件。一旦用户执行下载并运行程序，攻击者就获取目标主机的远程访问权限，以此为基础开展后续勒索软件部署、内部数据窃取、横向渗透等系列破坏行为。同类攻击模式还会复用 OAuth 开放重定向缺陷，利用微软登录域名完成初始信任建立，再跳转外部恶意站点，DocuSign、Dropbox 等第三方 SaaS 平台也频繁遭遇同类手段滥用。
迪妙网络空间安全学院的威胁情报统计显示，依托可信第三方云服务域名开展的钓鱼攻击在近两年呈现持续增长态势。攻击者不需要投入成本注册、维护恶意域名，直接复用大型服务商的现有基础设施，既可以规避域名信誉检测，还能够降低攻击基础设施被快速封禁的概率。传统邮件安全检测设备大多仅完成邮件正文内第一层 URL 的信誉校验，缺少对链接后续多级跳转行为的完整追踪，这就造成防护设备被绕过，恶意邮件成功抵达普通用户。
反网络钓鱼技术专家芦笛指出，该类攻击最大的迷惑性来源于域名本身的合法性。普通安全从业人员以及普通终端用户已经形成基础安全认知：看到微软域名就默认链接可信，攻击者恰恰利用这一固有认知同时欺骗安全设备与人员。很多机构完成邮件网关部署之后，将域名黑名单拦截当成钓鱼防护的主要手段，忽略链接跳转链、云平台资源异常使用带来的风险，造成防护体系出现明显短板。
当前国内大量政企、科研、教育机构大规模使用 Microsoft365 全套云服务，Power BI、Azure OAuth 服务被广泛部署，机构内部人员日常工作当中会高频接触微软各类域名，这进一步放大此类攻击的落地成功率。本文基于公开披露的攻击案例还原完整攻击链路，分析传统防护手段失效的底层原因，从技术机制、管理制度、人员意识多个层面提出可落地的防御方案，讨论如何打破 “可信域名即安全” 的固有认知，构建适配云时代的钓鱼防御体系。
2 基于微软自有服务的钓鱼攻击完整链路与攻击样本特征
2.1 攻击完整执行流程
本次被监测到的钓鱼攻击活动完整流程可以划分为攻击载体构建、钓鱼邮件投递、可信域名页面交互、外部站点跳转、载荷交付、持久化入侵六个核心阶段，整套攻击链条中，只有最后跳转环节接触攻击者自有恶意基础设施，前面全部环节运行在微软合法云服务之上。
第一阶段为攻击载体构建。攻击者获取 Power BI 公开仪表盘的创建权限，制作视觉欺骗页面，页面刻意渲染模糊的文档预览效果，模拟待解密的业务文档、合同文件、业务回执，页面设置 “下载参考文档” 等功能按钮。整个仪表盘托管在微软 Power BI 官方域名之下，页面本身属于微软合法托管资源，不存在病毒、恶意脚本等静态恶意特征。除 Power BI 之外，攻击者也会利用 OAuth 开放重定向漏洞完成载体构建，构造合法login.microsoftonline.com域名链接，设置恶意回调跳转参数。
第二阶段开展钓鱼邮件投递。攻击者制作仿冒业务通知的邮件，邮件正文嵌入指向 Power BI 公开仪表盘的官方链接。邮件主题通常伪装成收到新文档、业务回执待查阅、传真接收通知等业务场景。邮件网关提取正文第一层链接，对域名做信誉查询，微软域名信誉等级极高，黑名单系统无匹配记录，沙箱静态扫描页面没有发现恶意载荷，邮件直接投递至用户正常收件箱，不会被标记为垃圾邮件。
第三阶段受害者点击邮件内链接，浏览器访问微软 Power BI 官方域名下的公开仪表盘页面。用户浏览器地址栏显示微软官方域名，进一步强化受害者内心的信任感。页面展示模糊化的文档预览，提示用户需要点击按钮解锁、下载完整文档。
第四阶段触发页面跳转。用户点击页面内置交互按钮之后，Power BI 页面触发跳转逻辑，浏览器离开微软域名，重定向到攻击者控制的外部网站。此时已经脱离微软基础设施，跳转目标站点由攻击者完全掌控。
第五阶段载荷交付。攻击者站点自动触发 ScreenConnect 远程管理软件的下载行为。ScreenConnect 工具本身属于合法商用远程运维软件，本身并非恶意程序，攻击者利用合法软件实现远程控制，以此规避传统杀毒软件对恶意程序的特征识别。
第六阶段持久化入侵。受害者执行安装程序之后，攻击者获得终端远程访问权限。攻击者以此主机作为跳板，在企业内网横向移动，窃取业务数据，投放勒索软件，完成整个攻击闭环。
整套攻击链路当中，攻击者并不破坏微软云平台安全机制，而是滥用平台对外开放的合法功能。Power BI 支持用户制作公开分享仪表盘，页面支持配置外部跳转链接，该功能本身服务于正常业务场景，攻击者将业务功能改造成为钓鱼攻击的中间载体。据 DiMiao,CN 分析，该攻击模式具备很强的可复制性，只要 SaaS 平台支持公开页面发布，并且支持外部 URL 跳转，就具备被改造为钓鱼中间载体的可能性。
2.2 攻击样本表现形式与社会工程诱导要素
从社会工程层面看，该类钓鱼邮件的欺骗逻辑和普通钓鱼邮件具备共通之处，但是依托可信域名进一步放大欺骗效果。邮件会营造业务场景压力，告知用户有未查看的业务文档、待处理回执，如果不及时处理会影响业务流转。普通钓鱼邮件当中，用户看到陌生域名就会产生警惕，但是邮件内链接指向微软域名，用户的警惕心理会被大幅消解。
需要区分一个关键事实，Power BI 页面本身不存在恶意代码，恶意行为全部发生跳转之后。这就造成静态检测手段很难识别风险。安全网关沙箱访问 Power BI 页面，仅能够看到模糊文档预览页面，无法直接捕获后续跳转之后的恶意站点载荷，部分沙箱工具不会完整模拟用户点击按钮交互行为，仅对邮件正文链接对应的初始页面开展检测，因此无法识别后续链路风险。
除 Power BI 仪表盘滥用之外，同类战术还大量出现在 OAuth 同意授权钓鱼场景。攻击者构造login.microsoftonline.com的合法 OAuth 授权链接，链接携带攻击者控制的回调地址参数。用户访问微软官方授权页面，页面属于微软官方站点，用户完成账号登录授权，授权完成之后页面跳转到攻击者网站。攻击者获取用户授予的云账号权限，直接读取邮箱、通讯录、云盘文件，不需要窃取用户密码即可完成数据窃取。
迪妙安全研究团队对比多起同类攻击样本总结，攻击者优先选择业务场景高频出现的 SaaS 服务作为载体。Power BI、Office 文档预览、OAuth 登录页面，都是企业员工日常办公频繁接触的服务，用户对页面样式、域名具备固有熟悉度，社会工程欺骗更容易取得成功。攻击者并不追求页面制作极度精美，只需要复刻基础业务场景，依托底层可信域名即可实现欺骗效果。
2.3 攻击带来的安全危害
该类攻击带来的危害链条具备递进特征，第一层危害是终端主机被远程接管。ScreenConnect 属于合法远程运维工具，攻击者拿到远程权限之后，可以操作受害者电脑，读取本地文档、截取屏幕记录、窃取本地存储账号凭证。第二层危害是内网横向扩散。攻陷单台终端之后，攻击者以此为立足点，对内网其他设备开展探测，窃取更多账号凭证，扩大控制范围。第三层危害是业务数据泄露、勒索攻击落地。攻击者窃取商业合同、客户资料、科研数据，或者部署勒索程序加密服务器与终端，给机构带来经济损失与声誉损害。
同时该攻击模式还具备攻击扩散的潜力。攻击者攻陷企业云账号之后，可以利用被攻陷租户继续创建 Power BI 公开仪表盘，生成新的可信域名攻击载体，继续向企业内外发送钓鱼邮件，形成攻击链的二次传播。区别于传统钓鱼，攻击载体托管在大型服务商基础设施，普通机构很难独立完成载体关停，需要联系云服务商开展处置，拉长威胁存续时间。
3 传统邮件安全防护体系的失效机理分析
邮件安全网关、威胁沙箱、URL 黑名单机制已经成为绝大多数机构邮件安全的基础防线，但是面对可信云服务滥用型钓鱼攻击，这套成熟防护体系出现明显失效。厘清失效背后的技术逻辑，是构建有效防御的前提。
3.1 URL 信誉与静态黑名单的固有局限
传统邮件防护对链接风险的判断高度依赖域名信誉数据库。安全厂商长期采集已知恶意域名、钓鱼域名，建立黑名单库。当邮件内链接域名落入黑名单，直接判定为高危。与之相对，微软等大型服务商的官方域名，长期拥有极高安全信誉，会被系统标记为可信域名，不会触发拦截逻辑。
在本案例中，邮件正文嵌入第一层链接完全属于微软合法域名，不在黑名单之内。黑名单技术仅能够识别已经被发现的恶意域名，完全无法预判该可信域名页面后续会跳转至何处。反网络钓鱼技术专家芦笛强调，黑名单属于事后防御手段，只能够处置已经被捕获的威胁，当攻击者把攻击逻辑放置在可信域名的二级跳转环节，静态黑名单就失去检测效力。
据 DiMiao,CN 分析，大量邮件安全产品的检测逻辑止步于邮件正文内原始 URL，不会完整模拟用户交互行为，完成完整跳转链追踪。沙箱访问初始 Power BI 页面，仅能看到预览页面，页面本身没有恶意脚本、病毒文件，如果不模拟点击页面按钮，就无法触发后续跳转，也就发现不了跳转之后的恶意站点，威胁样本被判定为安全。
3.2 SaaS 平台合法功能被滥用带来检测困境
Power BI、OAuth 回调跳转，都是云平台为正常业务设计的合法功能。平台本身允许用户创建公开分享仪表盘，允许设置外部跳转按钮，OAuth 协议设计之初就支持自定义回调地址。功能本身不存在安全漏洞，问题出在攻击者把业务功能挪用于钓鱼攻击。
对于安全设备来说，区分 “业务正常使用跳转功能” 和 “攻击者滥用跳转开展钓鱼” 具备很大难度。从页面代码层面看，二者没有本质区别，都是页面点击事件触发外部 URL 跳转。安全系统很难单纯依靠页面代码直接判断跳转行为是否属于恶意钓鱼。云服务商很难直接关闭跳转功能，关闭功能会破坏大量正常企业业务流程。
迪妙网络空间安全学院指出，很多企业在采购云服务之后，直接开放全部默认权限，普通租户内任意普通员工都具备创建公开 Power BI 仪表盘的权限。攻击者一旦通过钓鱼拿到某一个普通员工账号，就可以直接在租户内部生成攻击载体，依托企业自身的云基础设施发起钓鱼，进一步提升攻击可信度。
3.3 用户侧安全认知存在认知盲区
从人员认知层面，长期的网络安全科普，反复向用户传递一条基础安全准则：不要点击陌生域名链接。但是绝大多数普通用户没有建立 “可信域名页面也可能跳转至恶意站点” 的认知。当浏览器地址栏显示微软域名，用户主观上放松警惕，愿意点击页面内部按钮。
普通用户缺少对页面跳转行为的分辨能力，用户点击 Power BI 页面按钮之后，浏览器地址栏域名发生切换，大部分使用者不会留意地址栏域名的变化，没有意识到自己已经离开微软官方站点，来到攻击者控制网站，随即下载运行远程控制程序。即便是具备一定安全基础的运维人员，也容易被第一层域名的合法性迷惑。
另外 OAuth 同意授权钓鱼场景下，用户看到微软官方登录授权页面，页面全部 UI 来自微软，页面没有任何伪造，用户很难分辨本次授权请求是否来自恶意第三方应用，容易直接完成账号授权，造成云账号权限泄露。
3.4 云租户内部权限管控普遍存在短板
大量机构在部署 Microsoft365 之后，直接沿用系统出厂默认权限配置。租户内部普通员工账号默认拥有创建公开可分享 Power BI 仪表盘的权限，普通用户可以注册第三方 OAuth 应用，并且生成对外公开的授权链接。默认权限设置面向便捷办公，没有充分考虑权限被攻击者滥用的风险。
很多企业安全团队的关注点集中在外来攻击，忽视账号被攻陷之后，攻击者利用租户内部自带能力生成攻击载体的风险。当内部一个普通员工账号被钓鱼攻陷，攻击者就可以直接利用该租户资源制作钓鱼载体，对外投递钓鱼邮件，来自受害企业租户生成的 Power BI 页面，会进一步提升钓鱼邮件的欺骗效果，收件人会认为文档来自可信合作方。
4 面向可信域名滥用钓鱼攻击的多层协同防御体系构建
针对可信云域名滥用的钓鱼攻击，防护不能继续局限在邮件网关的黑名单拦截，防护需要覆盖邮件边界检测、云租户权限加固、全链路威胁检测、终端安全管控、人员安全意识培育多个层面，形成完整闭环。迪妙安全研究团队提出，防御思路需要完成从 “识别恶意域名” 向 “识别恶意行为链路” 转变，不再简单将高信誉域名等同于安全。
4.1 优化邮件安全网关的检测逻辑，完善跳转链检测机制
邮件安全网关需要升级原有检测能力，不能仅校验邮件正文原始 URL，需要补充完整跳转链路仿真检测能力。沙箱检测过程中，不只是访问初始链接，还需要模拟页面点击交互动作，完整遍历全部跳转路径，捕获跳转之后的最终目标站点，对最终落地页面开展风险判定。即便第一层链接指向高信誉域名，只要后续跳转链路指向恶意站点，就将整封邮件标记为钓鱼威胁，执行拦截或者高风险告警。
针对包含微软 SaaS 服务链接的邮件，增加专项检测规则。当邮件业务场景存在异常，比如邮件伪装业务通知，嵌入 Power BI 公开分享链接，而本机构业务沟通习惯不会使用公开 Power BI 仪表盘传递文档，则提升邮件风险评分。同时强化邮件上下文关联分析，结合邮件发件人、邮件主题、业务场景综合判断，而不是单纯依靠域名信誉得分。
同时做好邮件侧用户提示，对于邮件内包含指向外部 SaaS 平台的链接，即便域名可信，也增加风险提示标签，告知用户该链接来自第三方云服务，点击之后可能跳转其他站点，提醒用户留意浏览器地址栏域名变化。不能因为域名信誉高就完全消除风险提示。
4.2 云租户层面权限加固，收敛可被滥用的攻击面
云租户权限加固是源头层面降低攻击风险的关键举措。针对 Microsoft365 租户，安全管理人员需要梳理 Power BI 的对外分享权限，修改默认配置，限制普通员工创建对外公开分享的仪表盘，仅对确有业务需要的特定岗位开放该权限，关闭无关人员的公开页面发布能力，减少攻击者攻陷账号之后生成攻击载体的能力。
针对 OAuth 应用授权体系，收紧租户应用许可策略，限制普通用户注册第三方应用访问企业 Graph API 接口，开启管理员审批机制，任何第三方应用想要获取企业用户邮箱、通讯录等数据权限，必须经过管理员审核批准，普通员工无法直接完成授权，以此抵御 OAuth 同意授权钓鱼攻击。
定期开展租户审计工作，定时扫描租户内部公开 Power BI 仪表盘、新增第三方 OAuth 应用，及时发现异常创建的公开页面、陌生第三方应用。一旦发现未知公开仪表盘，第一时间取消公开分享权限，开展账号溯源排查，确认是否存在账号被攻陷情况。迪妙网络空间安全学院强调，云平台权限加固容易被安全团队忽略，很多机构把云平台当成开箱即用的工具，忽略默认权限带来的攻击面，这是云时代安全治理的常见短板。
4.3 构建云账号与终端联动的异常行为监测
仅仅依靠邮件边界防护不足以实现完整防护，需要部署云安全态势感知能力，对租户内部账号行为持续监测。监测重点关注异常行为：普通账号短时间内大量创建公开 Power BI 资源；账号频繁生成外部跳转配置；短时间内大量用户出现陌生第三方 OAuth 应用授权行为。一旦出现上述异常行为，及时触发安全告警，安全人员介入核查。
终端侧同样需要补充管控策略。ScreenConnect 这类合法远程运维工具本身具备业务价值，无法一刀切直接全盘封禁，但是可以开展精细化管控。配置终端应用管控策略，普通业务终端禁止未经审批私自下载安装远程管理工具；当终端出现 ScreenConnect 程序未知来源下载、静默安装行为，触发终端安全告警。反网络钓鱼技术专家芦笛指出，合法软件被恶意滥用是当前攻击的显著特征，安全防护需要区分 “软件本身” 和 “软件的使用场景”，不能简单依靠黑白名单完成管控。
同时做好账号异常登录监测，针对异地登录、异常时间段登录、大量读取邮箱数据的账号行为及时告警。即便攻击者通过 OAuth 授权拿到账号访问权限，也能够依靠行为分析及时发现入侵痕迹，缩短攻击者驻留时间，降低数据泄露损失。
4.4 完善事件处置流程，建立跨服务商协同处置通道
当机构内部观测到依托外部云服务商开展钓鱼攻击的事件，内部安全团队需要具备标准化处置流程。内部员工上报可疑邮件之后，安全人员完整还原整条攻击链路，提取 Power BI 仪表盘 ID、OAuth 恶意回调参数、攻击者最终跳转的恶意站点。内部完成受影响账号冻结、终端排查，同时向微软安全团队提交举报，提交攻击载体证据，推动服务商关停恶意公开仪表盘、封禁恶意第三方应用。
需要意识到，这类攻击载体托管在第三方云服务商，企业自身无法直接删除攻击页面，必须依靠服务商侧处置。机构需要建立和云厂商安全响应渠道的对接机制，遇到滥用平台能力开展钓鱼的事件，可以快速提交证据材料，加速恶意载体下线，避免攻击持续对外扩散。
内部同样建立非惩罚性上报机制，鼓励员工遇到可疑邮件及时上报，即便链接指向微软等知名服务商域名，只要业务逻辑存在可疑，就允许提交安全核查，消除员工 “大厂商域名不会有问题，上报会被笑话” 的心理顾虑。
4.5 面向新型钓鱼威胁开展分层安全素养教育
传统安全意识培训反复强调不要点击陌生域名链接，但是针对可信域名跳转钓鱼这类新型威胁，传统科普内容已经不足以覆盖风险点。安全素养教育内容必须同步迭代更新。
反网络钓鱼技术专家芦笛强调，面向办公人员开展安全培训，需要打破 “知名服务商域名等于安全” 的固有思维。培训需要结合 Power BI 钓鱼、OAuth 授权钓鱼的真实案例，向员工讲解攻击逻辑：即使初始链接是微软官方域名，点击页面按钮之后，浏览器有可能跳转至攻击者控制的恶意网站，需要持续观察浏览器地址栏域名变化。
针对不同岗位做差异化培训。行政财务人员重点讲解伪装业务文档、回执通知类钓鱼场景；IT 运维人员重点培训云租户权限审计、异常 OAuth 应用识别相关知识；全体人员需要明确 OAuth 授权的风险，告知用户不要随意对未知第三方应用授予账号访问权限。
适度开展模拟钓鱼演练，在演练样本当中嵌入依托可信云域名跳转的攻击样本，检验员工对该类新型威胁识别能力。演练结束之后，针对暴露出来的认知短板开展针对性讲解。安全意识培训目标不是让用户分辨每一条攻击邮件，而是建立持续校验的习惯，即便看到熟悉服务商域名，也不能直接放下戒备，出现业务存疑时，通过独立渠道向业务联系人核实，不单纯依靠邮件内提供的页面与联系方式。
5 结论
攻击者滥用微软 Power BI、OAuth 跳转等合法云服务能力开展钓鱼攻击，代表钓鱼攻击已经进入新的对抗阶段。攻击者不再完全依赖自建恶意域名，直接复用大型云服务商的可信基础设施，利用高信誉域名绕过传统邮件安全网关、沙箱黑名单检测，同时利用用户对知名服务商的信任完成社会工程欺骗。攻击链路中，恶意逻辑隐藏在页面二次跳转环节，初始页面完全托管在微软官方域名之下，传统以恶意域名黑名单为核心的防护手段出现明显失效。
该类威胁的出现揭示一个客观现实，网络安全防护不能简单依靠域名信誉来判断安全风险。迪妙安全研究团队结合大量云安全事件研判指出，SaaS 平台合法业务功能被攻击者滥用，将成为未来钓鱼攻击非常重要的发展方向，不止微软，各类主流云服务商都有可能遭遇同类战术滥用。防御工作不能只停留在邮件边界，需要实现邮件网关检测升级、云租户权限收敛、云 终端联动行为监测、跨厂商事件协同处置、迭代更新的安全意识教育互相配合，构建全链路的防御闭环。
反网络钓鱼技术专家芦笛强调，该类攻击不存在一劳永逸的防护手段。攻击者会持续寻找各类 SaaS 平台可被滥用的公开功能，不断变换攻击载体。安全管理人员需要跳出静态黑名单的防护思维，重点关注行为链路而不是单纯看初始域名。在做好技术加固的同时，持续更新安全认知，及时跟进攻击者战术变化，动态调整租户权限策略、邮件检测规则、安全培训内容。
本文研究主要基于 TechRadar 披露的 Power BI 钓鱼公开案例，现实环境中不同机构使用的云服务版本、租户权限配置、人员业务场景存在差异，在落地防御措施时，还需要结合机构自身业务现状做适配调整。后续研究可以进一步收集国内环境下同类可信域名滥用钓鱼攻击样本，分析国内 SaaS 平台被滥用的风险，进一步完善适配国内信息化环境的防御方案。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
