一個暴露嘅伺服器，揭開三個Microsoft 365釣魚行動

Forg365：一個商業化嘅釣魚即服務平台

另外，Forg365 呢個釣魚即服務 (PhaaS) 平台由 ZeroBEC 研究人員發現（2026年7月9日至13日報告）。佢哋係一個喺 Telegram 出售嘅商業化工具，月費 $400 美金（或每年 $3,800 美金）。同暴露伺服器上嘅自訂 Evilginx 分支唔同，Forg365 將多種攻擊方法同工具捆綁喺一個操作員控制台入面 。

Forg365 結合咗三個核心功能：

• AiTM 代理 — 一個透明嘅反向代理，喺用戶完成 MFA 之後偷走 Session Token
• Device Code 釣魚 — 濫用 Microsoft 嘅正當 OAuth Device Code 流程，用戶喺真正嘅 Microsoft 登入頁面完成驗證，黑客唔需要見到佢嘅密碼
• AI 輔助誘餌生成 — 用 AI 整出令人信服嘅釣魚電郵同登入頁面，扮成 SharePoint、OneDrive、DocuSign 同 Adobe Acrobat Sign

呢個平台仲有防自動化偵測（識別沙箱同保安爬蟲）、被盜帳戶郵箱存取（操作員可以喺控制台瀏覽同偷走電郵）、SMTP 輪換同活動排程 。

一種攻擊係偷 Token，另一種係濫用正當協議

呢兩個發現說明咗 AiTM 代理攻擊同 Device Code 濫用嘅關鍵分別。了解呢個分別好重要，因為用嚟防禦一種攻擊嘅方法唔能夠用嚟對付另一種：

• **AiTM 代理攻擊（Evilginx 方式）：**黑客設立一個假嘅登入頁面，將流量代理到真正嘅 Microsoft 登入頁面。用戶喺黑客嘅代理頁面輸入密碼同完成 MFA。成功驗證之後，Microsoft 會向佢認為係正當用戶嘅瀏覽器發出 Session Cookie — 但呢個 Cookie 實際上落咗喺黑客嘅代理，而唔係用戶嘅瀏覽器。黑客之後可以重播呢個 Cookie 嚟存取受害者嘅 Microsoft 365 帳戶 。
• **Device Code 釣魚：**黑客生成一個正當嘅 Microsoft Device Code（用嚟喺冇鍵盤嘅裝置登入，例如智能電視），然後喺釣魚電郵入面發俾受害者。受害者去真正嘅 Microsoft 登入頁面，輸入 Code，完成 MFA，然後授權黑客嘅應用程式。冇任何嘢被「繞過」— 受害者自己授權咗存取。黑客嘅後台之後向 Microsoft 索取 Token 。

建議防禦：邊啲控制方法可以阻止邊種攻擊

防禦 Adversary-in-the-Middle 代理攻擊（Evilginx 方式）

對抗 AiTM 代理攻擊最有效嘅單一方法係抗釣魚 MFA，特別係 FIDO2/WebAuthn 同 Passkeys。呢啲方法將憑證綁定到正當嘅域名，所以當用戶嘅瀏覽器連接到黑客嘅代理網站（域名唔同），驗證協議會檢測到域名唔匹配，自動阻止憑證交換 。

其他防禦方法包括：

• **Conditional Access 政策（Entra ID）：**要求裝置符合規範同可信位置，阻止從不可信代理發出 Token
• **Continuous Access Evaluation (CAE)：**當檢測到高風險情況時，可以近乎即時咁撤銷 Token
• **監控異常 Token 使用情況：**留意 Token 喺同發出時唔同嘅 IP 或國家使用、冇可能嘅行程、同「唔熟悉嘅登入屬性」
• **封鎖新註冊嘅釣魚域名：**監控最近30日內註冊嘅域名，睇吓佢哋會唔會指向已知用於釣魚基建嘅 hosting IP 範圍

防禦 Device Code 驗證濫用

Device Code 釣魚唔需要黑客呃用戶喺假頁面輸入憑證 — 用戶係同真正嘅 Microsoft 登入頁面互動。呢個意味住淨係用 FIDO2/passkeys 唔能夠完全防禦呢種攻擊，因為正當嘅 OAuth 流程被濫用 。

主要防禦方法係用 Microsoft Entra ID Conditional Access 封鎖 Device Code OAuth 授權：

• 建立一個用「Authentication Flows」條件嘅政策，為所有用戶封鎖 Device Code 流程，但係有文件紀錄嘅例外群組除外
• 喺封鎖之前，先用唯讀模式運行或者檢查歷史登入日誌，確認邊啲係正當嘅 Device Code 使用情況（例如智能電視、會議室裝置）
• 計劃好 Device Registration Service (DRS) 嘅例外，因為封鎖 Device Code 流程可能會影響 Autopilot 同 Windows 裝置註冊

其他防禦方法：

• **限制應用程式同意同 OAuth 授權範圍：**限制邊啲應用程式可以用 Device Code 授權，定期審計已同意嘅應用程式
• **即使係 Device Code 流程都部署抗釣魚 MFA：**雖然唔係完全解決方法，FIDO2 硬件金鑰或憑證式驗證仍然可以減少攻擊面

總結

FBI 喺2026年5月嘅公共服務公告入面，針對 Kali365 PhaaS 平台，特別建議將封鎖 Device Code 流程作為主要防禦方法 。隨著 Forg365 呢類釣魚平台繼續將呢啲攻擊技術商業化，管理員要有清晰嘅行動方向：為所有特權帳戶部署 FIDO2/passkeys，阻止 AiTM 代理攻擊；用 Conditional Access 為唔需要用 Device Code 嘅用戶關閉呢個授權。 一個開放目錄可能暴露咗三個行動，但呢啲教訓適用於每一個 Microsoft 365 租戶。