Satu Pelayan Terdedah Mendedahkan Tiga Operasi Phishing Microsoft 365 — Begini Cara Ia Berfungsi dan Cara Menghentikan Kedua-dua Jenis Serangan

Forg365: Platform Phishing-sebagai-Perkhidmatan Komersial

Secara berasingan, platform phishing-sebagai-perkhidmatan (PhaaS) Forg365 dikenal pasti oleh penyelidik ZeroBEC (dilaporkan pada 9–13 Julai 2026) sebagai kit komersial yang diedarkan melalui Telegram berharga $400 sebulan (atau $3,800 setahun). Tidak seperti garpu Evilginx tersuai yang ditemui pada pelayan terdedah, Forg365 menggabungkan pelbagai kaedah serangan dan alat ke dalam satu papan pemuka pengendali .

Forg365 menggabungkan tiga keupayaan teras:

• Proksi AiTM — proksi songsang telus yang menangkap token sesi selepas pengguna melengkapkan MFA
• Phishing kod peranti — menyalahgunakan aliran kod-peranti OAuth Microsoft yang sah, bermakna pengguna melengkapkan pengesahan pada halaman Microsoft sebenar tanpa penggodam melihat kata laluan mereka
• Penjanaan umpan berbantukan AI — menggunakan AI untuk mencipta e-mel phishing dan halaman arahan yang meyakinkan yang menyamar sebagai SharePoint, OneDrive, DocuSign, dan Adobe Acrobat Sign

Platform ini juga termasuk pengelakan antibot (mengesan kotak pasir dan perangkak keselamatan), akses peti mel selepas kompromi (pengendali boleh melayari dan mengeksfiltrasi e-mel dari dalam panel), putaran SMTP, dan penjadualan kempen .

Satu Serangan Mencuri Token Selepas MFA; Satu Lagi Menyalahgunakan Protokol Yang Sah

Kedua-dua penemuan ini menggambarkan perbezaan kritikal antara serangan proksi AiTM dan penyalahgunaan kod peranti. Memahami perbezaan ini adalah penting kerana pertahanan yang sama tidak berfungsi untuk kedua-duanya:

• Serangan proksi AiTM (gaya-Evilginx): Penggodam menyediakan halaman log masuk palsu yang memproksi trafik ke halaman log masuk Microsoft yang sebenar. Pengguna memasukkan kata laluan mereka dan melengkapkan MFA pada proksi penggodam. Selepas pengesahan berjaya, Microsoft mengeluarkan kuki sesi kepada apa yang dipercayai sebagai penyemak imbas pengguna yang sah — tetapi kuki itu sebenarnya mendarat dalam proksi penggodam, bukan penyemak imbas pengguna. Penggodam kemudiannya boleh memainkan semula kuki tersebut untuk mengakses akaun Microsoft 365 mangsa .

• Phishing kod peranti: Penggodam menjana kod peranti Microsoft yang sah (kod pendek yang digunakan untuk log masuk pada peranti tanpa papan kekunci, seperti TV pintar) dan menghantarnya kepada mangsa dalam e-mel phishing. Mangsa melawat halaman log masuk Microsoft yang sebenar, memasukkan kod, melengkapkan MFA, dan membenarkan aplikasi penggodam. Tiada apa-apa yang "dilangkau" — mangsa telah memberikan kebenaran akses. Bahagian belakang penggodam kemudiannya menunggu Microsoft untuk token .

Pertahanan yang Disyorkan: Kawalan Yang Menghentikan Setiap Serangan

Pertahanan Terhadap Serangan Proksi Lawan-di-Tengah (gaya-Evilginx)

Pertahanan paling berkesan terhadap serangan proksi AiTM ialah MFA kalis phishing, khususnya FIDO2/WebAuthn dan passkeys. Ini mengikat kelayakan kepada nama domain yang sah, jadi apabila penyemak imbas pengguna menyambung ke tapak proksi penggodam (yang mempunyai domain berbeza), protokol pengesahan mengesan ketidakpadanan domain dan menyekat pertukaran kelayakan secara automatik .

Pertahanan lain termasuk:

• Dasar Akses Bersyarat (Entra ID): Memerlukan pematuhan peranti dan keperluan lokasi yang dipercayai untuk menyekat pengeluaran token daripada proksi yang tidak dipercayai
• Penilaian Akses Berterusan (CAE): Membolehkan pembatalan token hampir masa nyata apabila keadaan berisiko dikesan
• Pantau penggunaan token yang tidak normal: Cari token yang digunakan dari IP atau negara berbeza daripada tempat ia dikeluarkan, perjalanan mustahil, dan "sifat log masuk yang tidak dikenali"
• Sekat domain phishing yang baru didaftarkan: Pantau domain yang didaftarkan dalam 30 hari lepas yang menyelesaikan ke rangkaian IP hos yang diketahui digunakan untuk infrastruktur phishing

Pertahanan Terhadap Penyalahgunaan Pengesahan Kod Peranti

Phishing kod peranti tidak memerlukan penggodam untuk menipu pengguna memasukkan kelayakan pada halaman palsu — pengguna berinteraksi dengan halaman log masuk Microsoft yang sebenar. Ini bermakna FIDO2/passkeys sahaja tidak melindungi sepenuhnya daripada serangan ini kerana aliran OAuth yang sah sedang digunakan .

Pertahanan utama adalah untuk menyekat pemberian OAuth kod-peranti untuk pengguna yang tidak memerlukannya, menggunakan Dasar Akses Bersyarat Microsoft Entra ID:

• Buat dasar menggunakan syarat "Aliran Pengesahan" untuk menyekat aliran kod peranti untuk semua pengguna kecuali kumpulan pengecualian yang didokumenkan
• Sebelum menyekat, jalankan dalam mod laporan sahaja atau semak log log masuk sejarah untuk mengenal pasti penggunaan kod peranti yang sah (contohnya, TV pintar, peranti bilik mesyuarat)
• Rancang untuk pengecualian Perkhidmatan Pendaftaran Peranti (DRS), kerana menyekat aliran kod peranti boleh mengganggu Autopilot dan pendaftaran peranti Windows

Pertahanan tambahan:

• Hadkan skop persetujuan apl dan pemberian OAuth: Hadkan apl mana yang boleh menggunakan pemberian kod peranti dan audit aplikasi yang telah dipersetujui secara berkala
• Gunakan MFA kalis phishing walaupun untuk aliran kod peranti: Walaupun bukan penyelesaian lengkap, kunci perkakasan FIDO2 atau pengesahan berasaskan sijil masih mengurangkan permukaan serangan

Kesimpulan

Pekeliling Perkhidmatan Awam FBI Mei 2026 mengenai platform PhaaS Kali365 secara khusus mengesyorkan menyekat aliran kod peranti sebagai pertahanan utama . Memandangkan platform phishing seperti Forg365 terus mengkomersialkan teknik serangan ini, keperluan operasi untuk pembela adalah jelas: gunakan FIDO2/passkeys untuk semua akaun istimewa untuk menghentikan serangan proksi AiTM, dan gunakan Dasar Akses Bersyarat untuk melumpuhkan pemberian kod-peranti untuk pengguna yang tidak memerlukannya. Satu direktori terbuka mungkin telah mendedahkan tiga kempen — tetapi pengajarannya terpakai kepada setiap penyewa Microsoft 365.