微软揭露的四大攻击活动

1. 假冒 ChatGPT 的订阅钓鱼攻击（2026 年 5 月 5 日）

攻击者发起了一场以伪造的“ChatGPT Plus 订阅续费通知”为主题的钓鱼活动，威胁用户若不七天内更新付款信息，其账户将被降级 。

• 规模和目标：首波攻击向南非的受害者发送了 4,500 封邮件。一个规模更大的并行活动利用相同基础设施，在一天内向上至 10 万个目标发送了邮件，主要瞄准瑞士、奥地利和南非的高等教育及专业服务领域的机构 。
• 攻击手法：攻击采用了多阶段重定向技术。点击“更新支付方式”链接的受害者，会先被导引至一个合法的客户关系管理平台，再经过亚马逊跟踪域名和一个短网址服务，最终落入一个被入侵的电商网站。该网站通过多个连续页面，一步步收割用户的个人信息和完整的信用卡资料 。

2. 假借 Claude 之名的中间人攻击 (AiTM)（2026 年 4 月 20 日-22 日）

一场技术复杂的凭证窃取活动，通过冒充 Anthropic 公司来绕过目标的多因素认证 (MFA) 。

• 规模和目标：攻击锁定了超过 2,000 个机构，其中 62% 的受害者位于美国，18% 在英国，9% 在印度。金融服务业占到了目标的 8% 。
• 攻击手法：受害者会收到一封声称其账户违反了可接受使用政策的邮件，并附有一个名为 "Fill and Sign Claude Appeal Form.pdf" 的 PDF 文件 。这个 PDF 会引导用户经过 Cloudflare 验证、一个伪造的 Claude 品牌页面，最终跳转到一个假冒的微软登录页面。该页面旨在拦截用户的会话令牌，这是一种绕过 MFA 的典型 AiTM 技术 。

3. DeepSeek V4 虚假 GitHub 仓库与信息窃取木马（2026 年 4 月 24 日）

这次活动展示了攻击者利用 AI 热潮针对技术受众的速度之快 。

• 速度和规模：在 DeepSeek 预览其 V4 模型后的 45 分钟内，攻击者就创建了一个名为 "DeepSeek-V4" 的虚假 GitHub 组织。该组织拥有被盗用的、逼真的品牌标识和准确的基准测试数据 。这个仓库在四天内就获得了 91 颗星标，并在必应搜索中，“DeepSeek v4 weights github”等相关关键词排名第一 。
• 恶意载荷：该仓库托管的文件中包含一个加载器，它会安装 Vidar 信息窃取木马。该木马专门盗取各种凭证、浏览器 cookie 和加密货币钱包数据 。微软发现，同样的加载器哈希值还被复用于冒充其他热门 AI 工具（如 GPT-5.5、Claude Code、Manus AI 等）的文件中，展现出一种“可更换诱饵”的策略 。

4. Storm-3075 恶意广告与欺诈性代码签名活动（2026 年 3 月-5 月）

这场被归因于一个名为 Storm-3075 的初始访问代理的活动，利用恶意广告大规模部署了带有签名的恶意软件 。

• 规模和目标：仅在 2026 年 3 月 13 日，一次针对免费电影流媒体网站的恶意弹窗活动就锁定了超过 66,000 台设备，推广着诸如 “Awesome AI Windows Plugin” 和 “Flux Pro AI” 这类虚构产品 。
• 攻击手法：分发的恶意软件附带了从一家名为 Fox Tempest 的“恶意软件签名即服务”机构处欺诈性获取的有效数字签名。这让可执行文件对操作系统和用户来说看起来完全合法，绕过了标准的安全信任检查 。2026 年 5 月 19 日，微软在美国纽约南区联邦地区法院对 Fox Tempest 提起的法律诉讼被公开，微软查封了其网站，并关闭了运行该服务的数百台虚拟机 。

更广泛的 AI 主题欺诈生态系统

这四大活动并非孤例。它们共同构成了一个更广泛的、不断进化的 AI 主题欺诈生态，该生态系统依赖一套成熟且可重复利用的攻击工具箱：

• 多阶段重定向：攻击者常常将受害者路径导引至客户关系管理系统、短网址服务和云平台等合法服务，以绕开自动化检测，最终才将其送入恶意载荷页面 。
• 搜索引擎排名操纵与虚假仓库：DeepSeek 事件凸显了供应链攻击的危险演变。欺诈性的 GitHub 仓库和页面经过搜索引擎优化，其排名压倒了合法来源，专门瞄准那些正在寻找模型权重和代码的开发者和研究人员 。
• 恶意软件签名即服务：针对 Fox Tempest 的法律行动，揭示了一个职业化的犯罪网络，它向众多攻击者提供欺诈性签发的代码签名证书，让未签名的恶意软件也能获得操作系统层面的信任 。
• 可更换诱饵：同一个加载器二进制文件，被重新打包成 GPT-5.5、Claude Code、Kimi 和 Manus AI 等不同 AI 模型的名字，显示攻击者能够在瞬间将他们的活动转向当时公众最关注的那个工具 。

为何这一转变至关重要

微软评估认为，以 AI 为主题的诱饵“反映了一种社交工程的转向，且极有可能成为威胁行为体（从网络犯罪集团到国家级黑客）的长期战术” 。这并非要取代传统的虚假发票或快递通知等钓鱼诱饵，而是创造了一个建基于公众对 AI 平台巨大信任和好奇心之上的、全新的强大攻击面。许多组织的安全意识培训目前尚未充分覆盖这一风险 。而通过 DeepSeek 事件看到，对技术开发者的精准打击尤其令人担忧，因为它指向了一种处于无数企业应用程序和内部工具上游的供应链风险 。

微软揭露的四大攻击活动

1. 假冒 ChatGPT 的订阅钓鱼攻击（2026 年 5 月 5 日）

攻击者发起了一场以伪造的“ChatGPT Plus 订阅续费通知”为主题的钓鱼活动，威胁用户若不七天内更新付款信息，其账户将被降级 。

• 规模和目标：首波攻击向南非的受害者发送了 4,500 封邮件。一个规模更大的并行活动利用相同基础设施，在一天内向上至 10 万个目标发送了邮件，主要瞄准瑞士、奥地利和南非的高等教育及专业服务领域的机构 。
• 攻击手法：攻击采用了多阶段重定向技术。点击“更新支付方式”链接的受害者，会先被导引至一个合法的客户关系管理平台，再经过亚马逊跟踪域名和一个短网址服务，最终落入一个被入侵的电商网站。该网站通过多个连续页面，一步步收割用户的个人信息和完整的信用卡资料 。

2. 假借 Claude 之名的中间人攻击 (AiTM)（2026 年 4 月 20 日-22 日）

一场技术复杂的凭证窃取活动，通过冒充 Anthropic 公司来绕过目标的多因素认证 (MFA) 。

• 规模和目标：攻击锁定了超过 2,000 个机构，其中 62% 的受害者位于美国，18% 在英国，9% 在印度。金融服务业占到了目标的 8% 。
• 攻击手法：受害者会收到一封声称其账户违反了可接受使用政策的邮件，并附有一个名为 "Fill and Sign Claude Appeal Form.pdf" 的 PDF 文件 。这个 PDF 会引导用户经过 Cloudflare 验证、一个伪造的 Claude 品牌页面，最终跳转到一个假冒的微软登录页面。该页面旨在拦截用户的会话令牌，这是一种绕过 MFA 的典型 AiTM 技术 。

3. DeepSeek V4 虚假 GitHub 仓库与信息窃取木马（2026 年 4 月 24 日）

这次活动展示了攻击者利用 AI 热潮针对技术受众的速度之快 。

• 速度和规模：在 DeepSeek 预览其 V4 模型后的 45 分钟内，攻击者就创建了一个名为 "DeepSeek-V4" 的虚假 GitHub 组织。该组织拥有被盗用的、逼真的品牌标识和准确的基准测试数据 。这个仓库在四天内就获得了 91 颗星标，并在必应搜索中，“DeepSeek v4 weights github”等相关关键词排名第一 。
• 恶意载荷：该仓库托管的文件中包含一个加载器，它会安装 Vidar 信息窃取木马。该木马专门盗取各种凭证、浏览器 cookie 和加密货币钱包数据 。微软发现，同样的加载器哈希值还被复用于冒充其他热门 AI 工具（如 GPT-5.5、Claude Code、Manus AI 等）的文件中，展现出一种“可更换诱饵”的策略 。

4. Storm-3075 恶意广告与欺诈性代码签名活动（2026 年 3 月-5 月）

这场被归因于一个名为 Storm-3075 的初始访问代理的活动，利用恶意广告大规模部署了带有签名的恶意软件 。

• 规模和目标：仅在 2026 年 3 月 13 日，一次针对免费电影流媒体网站的恶意弹窗活动就锁定了超过 66,000 台设备，推广着诸如 “Awesome AI Windows Plugin” 和 “Flux Pro AI” 这类虚构产品 。
• 攻击手法：分发的恶意软件附带了从一家名为 Fox Tempest 的“恶意软件签名即服务”机构处欺诈性获取的有效数字签名。这让可执行文件对操作系统和用户来说看起来完全合法，绕过了标准的安全信任检查 。2026 年 5 月 19 日，微软在美国纽约南区联邦地区法院对 Fox Tempest 提起的法律诉讼被公开，微软查封了其网站，并关闭了运行该服务的数百台虚拟机 。

更广泛的 AI 主题欺诈生态系统

这四大活动并非孤例。它们共同构成了一个更广泛的、不断进化的 AI 主题欺诈生态，该生态系统依赖一套成熟且可重复利用的攻击工具箱：

• 多阶段重定向：攻击者常常将受害者路径导引至客户关系管理系统、短网址服务和云平台等合法服务，以绕开自动化检测，最终才将其送入恶意载荷页面 。
• 搜索引擎排名操纵与虚假仓库：DeepSeek 事件凸显了供应链攻击的危险演变。欺诈性的 GitHub 仓库和页面经过搜索引擎优化，其排名压倒了合法来源，专门瞄准那些正在寻找模型权重和代码的开发者和研究人员 。
• 恶意软件签名即服务：针对 Fox Tempest 的法律行动，揭示了一个职业化的犯罪网络，它向众多攻击者提供欺诈性签发的代码签名证书，让未签名的恶意软件也能获得操作系统层面的信任 。
• 可更换诱饵：同一个加载器二进制文件，被重新打包成 GPT-5.5、Claude Code、Kimi 和 Manus AI 等不同 AI 模型的名字，显示攻击者能够在瞬间将他们的活动转向当时公众最关注的那个工具 。

为何这一转变至关重要

微软评估认为，以 AI 为主题的诱饵“反映了一种社交工程的转向，且极有可能成为威胁行为体（从网络犯罪集团到国家级黑客）的长期战术” 。这并非要取代传统的虚假发票或快递通知等钓鱼诱饵，而是创造了一个建基于公众对 AI 平台巨大信任和好奇心之上的、全新的强大攻击面。许多组织的安全意识培训目前尚未充分覆盖这一风险 。而通过 DeepSeek 事件看到，对技术开发者的精准打击尤其令人担忧，因为它指向了一种处于无数企业应用程序和内部工具上游的供应链风险 。