事件回顾：一场全球联动的钓鱼平台围剿
近期，由德国执法部门牵头，联合美国、印度尼西亚等多国机构，对大规模“钓鱼即服务”（PhaaS）平台Kratos实施了精准打击。行动中，警方查封了该组织分布在各地的200多台关键服务器，并在印度尼西亚逮捕了一名核心开发者及技术管理员。
从我们的应急响应经验来看，此次行动旨在从根源上切断该平台对下游钓鱼活动的支撑。官方宣称Kratos的基础设施已被彻底瘫痪，但安全界对此普遍持“谨慎乐观”态度。虽然核心基础设施倒塌，但Kratos所代表的黑色产业链生态，远比我们想象中更具韧性。
技术拆解：Kratos的“中间人”攻击手法
Kratos之所以能在黑产圈占据重要地位，核心在于其针对Microsoft 365的高效钓鱼能力。该平台主要利用“中间人”（AiTM）攻击技术，通过伪造极其逼真的登录页面，诱骗用户提交账号、密码及多因素认证（MFA）令牌。
这一环节是很多企业容易忽视的盲点。通过窃取会话令牌，攻击者即便在用户开启了MFA的情况下，也能绕过校验直接接管企业邮箱或云端账号，进而发起商业电子邮件欺诈（BEC）。Kratos正是将这种复杂的技术封装成“开箱即用”的服务，卖给下游约1800名客户，使其无需高深技术即可发起大规模攻击。
深度剖析：为何“捣毁”不等于“终结”？
尽管Kratos的基础设施被关停，但这并不意味着企业面临的钓鱼威胁会随之下降。
首先，Kratos本质上是一个“服务提供商”。其1800多名下游客户（攻击者）手握目标清单和发送渠道，他们并未被抓捕。对于这些攻击者而言，Kratos只是一个工具供应商。类似攻击近年来明显增加，黑产市场的高流动性决定了“供应商”可以被快速替换。
其次，钓鱼工具具有极强的可复制性。在安全界，针对Kratos所使用的工具命名尚存争议（如SneakyLog、Sneaky 2FA等），这从侧面反映了该类工具在黑产市场中频繁被克隆、重命名和二次销售的现状。即便核心开发者被捕，代码逻辑和操作技术早已在黑产圈流传，重新部署一套类似系统对黑产团伙来说仅需数日。
Solar 应急响应团队的安全建议
面对此类瞬息万变的钓鱼威胁，企业不能寄希望于单一的执法行动来彻底消除风险。我们建议从以下三个维度强化防御：
强化身份认证与设备信任：仅依赖传统的MFA已不足以抵御AiTM攻击。建议推进FIDO2/WebAuthn等硬件密钥认证，从物理层面杜绝会话令牌被窃取的可能。
关注异常会话监控：企业应重点监测异常的登录行为，特别是针对Microsoft 365等办公套件的异地登录、设备指纹突变等风险信号，及时阻断可疑会话。
提升全员安全意识：钓鱼攻击最薄弱的环节始终是人。通过定期的钓鱼演练，让员工熟悉各种伪装手段，比单纯依赖技术拦截更具长效性。
正如我们在实战中所观察到的，黑产组织如同九头蛇，消灭一个节点往往会催生更多变体。企业应建立起一套“假设被入侵”的应急响应机制，而非盲目乐观于外部安全环境的短期改善。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com