黑客借虚假OpenAI、SpaceX活动邀请窃取微软谷歌账号

黑客利用伪造的 OpenAI、SpaceX 和 Anthropic 活动邀请，诱导员工进入钓鱼攻击，借助两个不同的钓鱼即服务平台窃取 Microsoft 和 Google 账户凭据及认证会话。

根据 Push Security 发布的一份新报告，攻击者使用极具迷惑性的活动注册页面，以免费获取高级 AI 服务及其他奖励为诱饵，诱骗受害者使用企业账户登录。

这些攻击的特别之处在于，同一批钓鱼页面整合了两个独立的钓鱼即服务（PhaaS）平台——Kali365 和 VoidProxy，针对 Microsoft 和 Google 账户分别采用不同的认证攻击手法。

Kali365 负责对 Microsoft 实施设备代码钓鱼攻击，VoidProxy 则充当中间人（AiTM）反向代理，拦截 Google 登录请求并窃取认证会话 Cookie。

针对 Microsoft 的攻击还将 VoidProxy 作为第二阶段使用，使攻击者在通过 Kali365 获取认证令牌后，进一步捕获凭据和会话 Cookie。

Push Security 表示，该公司于 2026 年 10 月下旬检测并拦截了对这些恶意活动注册页面的访问。

此次攻击活动与 ANY.RUN 在 7 月记录的另一起活动类似，当时攻击者滥用合法的 Zoom 活动页面推广伪造的 Meta、OpenAI 和 Anthropic 活动，进而实施设备代码钓鱼和 AiTM 钓鱼攻击。

Cofense 近期也报告了冒充 Anthropic 活动邀请的钓鱼邮件，这些邮件通过 GoTo Webinar 的邮件基础设施分发，并将收件人经多个网站重定向至伪造的注册页面。

目前尚不清楚攻击者最初如何分发这些钓鱼链接，但 Push Security 发现，他们利用来自可信服务的链接（包括 Google 和 Zapier 的 URL 短链接服务）将受害者重定向至恶意活动注册页面。

该活动早期版本的邀请还通过 GoTo Webinar 的邮件系统或合法的 Zoom 活动页面进行分发。

Push Security 表示，攻击者使用了两个自定义钓鱼工具包，分别追踪为 ZoomMock 和 MSDRoot，用于创建伪造的活动页面，再将受害者引导至 Kali365 和 VoidProxy 钓鱼服务。

研究人员认为这两个工具包由同一威胁行为者运营，因为它们使用共享基础设施并针对相同目标。

该活动冒充 OpenAI、SpaceX 和 Anthropic 主办的活动，注册页面刻意模仿合法活动网站的设计。

其中一个钓鱼页面宣传一场名为“ChatGPT for Social & Digital Marketing Teams”的 OpenAI 活动，承诺向参与者提供三个月的 ChatGPT Pro 服务。

另一个页面推广 11 月 12 日的一场 SpaceX 私人活动，向注册者提供三个月的 Grok Heavy 或一份“SpaceX 股份”。

研究人员还发现了一个冒充 Anthropic 在 AWS re:Invent 2026 活动的钓鱼页面，该页面已被下线。

伪造的注册页面告知访问者，必须使用工作账户登录才能完成注册并领取所宣传的奖励。

在显示伪造注册页面之前，网站会先展示一个 Cloudflare CAPTCHA 验证，要求“确认你不是机器人”。此举旨在阻止自动化安全平台扫描该钓鱼站点。

当访问者进入活动注册页面后，会看到两个选项：“Continue with Microsoft”和“Continue with Google”。

当受害者选择 Microsoft 选项时，钓鱼页面会联系 Kali365 平台生成一个 Microsoft 设备认证代码。

设备代码钓鱼攻击是指攻击者滥用合法的 OAuth 2.0 设备授权授予流程，获取受害者 Microsoft Entra 账户的认证令牌。

随后，这些令牌可用于访问用户的资源及已连接的单点登录应用，例如 Microsoft 365、Salesforce、Google Workspace、Dropbox、Adobe、SAP、Slack、Zendesk、Atlassian 等众多服务。

设备代码钓鱼攻击此前曾被用于数据窃取和网络间谍活动。

访问者会被指示复制该代码并在 Microsoft 合法的设备登录网站上输入，在那里完成认证并批准请求。

这样一来，Kali365 钓鱼平台便可在无需受害者直接透露密码的情况下窃取 Microsoft 认证令牌。

设备代码认证成功后，页面会将受害者重定向至 VoidProxy 的 Microsoft 登录页面，攻击者在此还可捕获受害者的密码和会话 Cookie。

当受害者选择 Google 认证选项时，钓鱼页面则会打开一个弹窗，其中包含来自 VoidProxy PhaaS 的 Google 登录页面。

该平台作为中间人（AiTM）平台运行，位于受害者浏览器与 Google 登录页面之间，代理登录表单并窃取凭据、MFA 响应和会话 Cookie。

Kali365 和 VoidProxy 两个平台均可帮助攻击者绕过多因素认证——通过捕获已认证的会话，或在设备代码认证场景下完全绕过 MFA。

为防范此类攻击，员工应避免在不熟悉的网站上输入 Microsoft 设备认证代码，并对那些要求使用企业账户登录以领取奖励的活动邀请保持警惕。

企业还可以在不需要设备代码认证的场景中禁用该功能，并采用抗钓鱼的 MFA（如 FIDO2 安全密钥），以帮助防止会话劫持。

Adaptive Security 的 AI 代理可分析邮件意图、上下文和行为，以发现钓鱼攻击、商业电子邮件入侵和发票欺诈。

通过为期 14 天的 Microsoft 365 或 Google Workspace 只读扫描，了解哪些威胁正在穿透防御——无需更改 MX 记录。

EvilTokens PhaaS 在入侵 12,000 个 Microsoft 账户后被捣毁

Microsoft：近期 Windows 更新导致 SQL Server 性能问题

Microsoft 确认 Windows 安全更新安装问题

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）