摘要钓鱼即服务PhaaS完成网络黑产工业化转型后低技术门槛攻击者可批量实施绕过多因素认证MFA的账号劫持攻击Kratos 作为由 Sneaky2FA 迭代而来的主流 AiTM 中间人钓鱼平台自 2024 年末上线后快速形成全球攻击网络。2026 年 7 月德国联邦刑事警察局BKA联合法兰克福互联网犯罪打击中心ZIT、美国 FBI 及印尼警方开展奥林匹斯之刃Olympus Blade跨境联合执法行动查封 200 余台核心服务器、抓捕平台开发者彻底瓦解该平台运营体系。该平台累计吸纳 1800 余名付费黑产订阅者每月发起 15000 轮规模化钓鱼攻击受害主体覆盖 35 个国家核心技术依托 Node.js 反向代理实现中间人会话劫持完整截获用户完成 MFA 校验后的长效会话令牌直接突破政企普遍部署的二次身份防护。本文以 The Register 2026 年 7 月 21 日披露的执法行动报道为核心实证素材完整拆解 Kratos 平台双层技术架构、双模式攻击执行逻辑、反检测规避机制与商业化运营链条结合执法查获的平台源码片段给出可复现的核心代理代码、邮件诱饵检测脚本、Entra ID 异常会话审计 KQL 查询基于跨境打击案例总结 PhaaS 平台溯源、取证、阻断全流程处置路径构建 “流量网关拦截 - 身份日志检测 - 终端浏览器防护 - 跨境情报协同” 四层闭环防御体系。反网络钓鱼技术专家芦笛指出Kratos 类 AiTM 钓鱼平台的大规模泛滥证明仅依靠静态域名黑名单、基础 MFA 防护无法抵御实时流量中继劫持攻击政企安全体系必须补齐会话令牌、反向代理流量、浏览器内浏览器BitB场景的专项检测能力同步建立跨境威胁情报联动机制削弱 PhaaS 黑产工业化生存根基。关键词钓鱼即服务Kratos中间人钓鱼AiTMMFA 绕过跨境网络执法云身份安全1 引言1.1 研究背景与问题提出数字化办公场景下 Microsoft 365 成为企业核心数据载体多因素认证被行业公认为阻断凭证窃取攻击的基础防护手段但黑产技术持续向流量中继、协议劫持方向迭代钓鱼攻击从传统静态仿页凭证窃取升级为实时中间人会话劫持。钓鱼即服务PhaaS商业模式大幅降低高级钓鱼技术使用门槛无专业开发能力的底层黑产仅需支付加密货币订阅费用即可租用成熟代理架构、仿登录模板、反爬虫规避工具批量开展定向商业邮件劫持BEC攻击。2026 年 7 月 21 日《The Register》发布专项报道完整披露德国主导的奥林匹斯之刃跨境执法行动细节本次行动针对全球头部 PhaaS 平台 Kratos 实施全域基础设施摧毁是近年针对 MFA 绕过类钓鱼工具规模最大的跨境联合打击行动。趋势科技同步提供全程威胁情报支撑协助执法机构完成平台基础设施指纹测绘、受害者画像、黑产订阅链路溯源。执法材料显示Kratos 区别于普通静态钓鱼工具内置两套攻击执行模式基础 PHP 静态页面仅抓取账号密码高阶 Node.js 反向代理模式实现受害者与微软身份服务器之间全流量中继用户完成推送、验证码类 MFA 校验生成的会话 Cookie、访问令牌会同步留存至攻击者后台实现无密码长期接管账户。当前国内安全领域相关研究存在三点明显短板其一缺少基于真实跨境执法案例的完整 PhaaS 平台全链路拆解多数文献仅简述 AiTM 攻击概念未结合 Kratos 源码、运营数据、查封资产开展实证分析其二技术落地工具缺失未配套适配云身份平台、邮件网关、浏览器终端的检测代码企业安全团队难以直接复用其三防御方案局限于单点技术管控未结合跨境网络犯罪打击逻辑构建情报协同闭环缺少针对 PhaaS 工业化运营模式的长效治理思路。针对上述空白本文依托本次跨境执法公开材料系统完成 Kratos 平台技术、运营、打击、防御全维度研究。1.2 研究边界与核心研究内容本文研究边界限定于 Kratos原 Sneaky2FAPhaaS 平台针对 Microsoft Entra ID、Microsoft 365 实施的中间人钓鱼攻击聚焦奥林匹斯之刃跨境执法行动披露的技术细节、运营数据、查封资产不拓展其他类型钓鱼工具、移动端短信劫持、设备码钓鱼等平行攻击手段。核心研究内容分为四模块第一梳理 Kratos 平台演化脉络与商业化运营体系拆解黑产订阅、支付、诱饵分发、数据回传完整商业链路第二分层解析 Kratos 前后端技术架构对比静态凭证抓取、反向代理 AiTM 两种攻击模式的实现逻辑梳理平台内置的反爬虫、地理围栏、浏览器指纹规避机制第三提供三类工程化落地代码Node.js 代理核心功能复刻片段、邮件网关诱饵检测 Python 脚本、Microsoft Sentinel 异常会话审计 KQL 查询覆盖攻击事前拦截、事中告警、事后溯源第四结合本次跨境执法实践构建四层全域纵深防御体系同步总结政企单位应对 PhaaS 规模化攻击的分阶段落地路径客观分析跨境联合打击的局限性与优化方向。1.3 全文结构安排本文共分为六大章节第一章为引言阐述研究背景、现有研究短板、研究边界与整体框架第二章界定 PhaaS、AiTM 中间人钓鱼核心概念梳理 Kratos 平台发展历程与商业化运营模式第三章基于执法公开材料拆解 Kratos 双层技术架构、双攻击模式、反检测规避机制还原标准化攻击杀伤链第四章提供可直接部署的三类工程代码分别实现攻击模拟、前置检测、云端审计告警第五章搭建四层闭环防御体系同步结合奥林匹斯之刃行动总结跨境网络犯罪打击流程与现存约束第六章为结论与研究展望总结核心研究结论预判 PhaaS 平台迭代趋势给出政企分阶段安全加固落地建议。2 Kratos 钓鱼即服务平台基础理论与商业运营体系2.1 核心概念界定2.1.1 钓鱼即服务PhaaSPhaaS 是网络黑产工业化产物犯罪开发者搭建标准化钓鱼基础设施以订阅制、租赁制向底层攻击者开放全套钓鱼能力使用者无需独立开发仿登录页面、反向代理服务器、数据存储节点仅通过后台可视化面板配置诱饵、目标域名、回传渠道即可批量发起攻击。支付渠道以比特币、门罗币等匿名加密货币为主客户管理、工单服务、攻击数据查看依托加密通讯工具 Telegram 完成整体运营完全脱离正规互联网监管链路。2.1.2 AiTM 中间人钓鱼技术Adversary-in-the-MiddleAiTM中间人钓鱼依托反向代理服务器架设于受害者与合法身份服务商之间用户所有登录请求、MFA 校验流量均经攻击者服务器中转。与静态仿页钓鱼核心差异为静态页面仅捕获用户输入的账号密码无法获取 MFA 校验后下发的会话令牌AiTM 代理可完整中继全部交互流量同步留存长效 Cookie、刷新令牌攻击者无需重复验证身份即可长期登录受害账户传统 MFA 防护逻辑完全失效。反网络钓鱼技术专家芦笛强调AiTM 攻击是当前 MFA 防护体系最大短板传统网页信誉过滤、域名黑名单无法识别实时流量中继行为仅能依靠会话上下文风险检测识别异常。2.1.3 Kratos 平台演化脉络Kratos 前身为 2024 年 10 月上线的 Sneaky2FA 工具早期仅提供基础 Node.js 反向代理 AiTM 能力依托 Telegram 小众渠道售卖2025 年末完成架构重构并更名 Kratos新增静态 PHP 钓鱼页面、浏览器内浏览器BitB弹窗、反爬虫校验、地理访问控制、多渠道数据回传、可视化运营后台等功能转型为标准化 PhaaS 平台2026 年上半年平台规模爆发付费订阅者突破 1800 人月均钓鱼 campaigns 稳定在 15000 轮成为欧洲、北美针对企业 Microsoft 365 账户劫持的核心工具最终触发德美联合跨境执法行动。2.2 Kratos 平台商业化运营全链路基于 BKA、ZIT 执法公开运营数据Kratos 形成完整闭环黑产商业链条分为开发运维、渠道分销、客户攻击、赃款变现四大环节各环节分工独立、人员隔离大幅提升溯源打击难度。开发运维环节平台唯一开发者与技术管理员定居印尼负责服务器运维、工具版本迭代、漏洞修复、客户技术支持持有全部 200 余台核心服务器控制权所有源码、客户数据、攻击日志集中存储于查封服务器集群执法统计显示平台自 2024 年末累计非法营收超过 30 万欧元全部通过加密货币结算。渠道分销环节依托 Telegram 加密机器人、私密群组完成获客不公开投放引流广告采用老客户推荐裂变模式订阅档位划分基础版、专业版、企业版档位差异体现在代理带宽、并发攻击数量、BitB 弹窗功能、多渠道数据回传权限按月收取加密货币订阅费。客户攻击执行环节付费订阅者黑产加盟商登录专属后台可视化配置钓鱼模板、目标行业、访问限制规则平台自动生成带个性化邮箱参数的钓鱼链接、QR 二维码、HTML 诱饵附件攻击产生的账号凭证、会话令牌实时推送至客户私有 Telegram 频道同时本地存储于平台服务器日志。赃款变现环节加盟商利用劫持账户实施商业邮件诈骗、内部二次钓鱼、企业数据窃取窃取资金拆分至多层匿名钱包完成混币洗白被盗账户数据批量打包在暗网交易市场售卖形成二次非法收益。2.3 Kratos 平台客户与受害者画像特征执法机构梳理平台全部订阅客户与受害主体数据呈现清晰地域、行业分布规律客户侧1800 余名加盟商主要分布在东欧、东南亚、南美低监管地区多数无高级编程能力仅掌握基础邮件群发操作购买平台服务的核心诉求是绕过企业 MFA 防护实施商业邮件欺诈受害者侧受害主体覆盖 35 个国家集中于欧盟各国、美国高风险行业为制造业、金融、律所、医疗、零售诱饵主题以税务单据、合作文档、薪资报表、客户档案为主定向投放企业高管、财务、行政岗位员工此类人员账户权限高沦陷后造成的数据泄露、资金损失风险显著高于普通员工。3 Kratos 平台技术架构、攻击模式与杀伤链实证分析本章基于 ANY.RUN 沙箱逆向源码、德国执法查封服务器日志、趋势科技威胁情报素材完整拆解 Kratos 前后端分层架构、两套攻击执行模式、内置反检测规避机制还原标准化中间人钓鱼完整杀伤链。3.1 Kratos 整体分层技术架构平台采用前后端解耦分布式架构分为前端接入层、核心代理处理层、数据存储与回传层、管理控制面板四层四层架构相互隔离单一节点下线不影响整体攻击链路稳定性提升平台抗查封、抗检测能力。前端接入层部署于第三方可信云主机、被入侵合法网站子域名、Google Sites 等免费托管站点承载静态仿微软登录页面、Turnstile 人机验证弹窗内置地理围栏、设备指纹过滤逻辑拦截安全爬虫、沙箱 IP、研究人员终端访问仅放行目标国家普通用户流量页面支持 BitB 浏览器内浏览器弹窗渲染模拟独立登录窗口弱化用户域名异常感知。核心代理处理层平台核心功能模块分为 PHP 静态抓取子模块、Node.js 反向代理 AiTM 子模块由加盟商自主选择启用Node.js 模块建立受害者浏览器与login.microsoftonline.com之间持久双向流量通道实时转发 GET/POST 请求同步抓取 Cookie、ID 令牌、刷新令牌是实现 MFA 绕过的核心组件。数据存储与回传层攻击产生的凭证、会话数据双路径存储本地以 JSON 格式留存于服务器日志目录同时通过 Telegram Bot 接口实时推送至加盟商私有加密频道支持自定义 SMTP 邮件回传渠道适配无 Telegram 使用习惯的黑产客户。管理控制面板层独立加密后台加盟商通过独立账号密码登录内置 Campaign 管理、流量统计、受害者地理位置分析、诱饵生成、访问黑白名单配置功能后台自身叠加 Telegram 二次 MFA 校验防止无关人员越权访问客户攻击数据。奥林匹斯之刃查封公告页面3.2 Kratos 双攻击模式技术实现对比平台提供两套独立攻击执行方案适配不同黑产客户技术需求与风险承受能力二者技术实现、威胁强度、检测难度存在显著差异如表 1 所示表 1 Kratos 双攻击模式技术特征对比表格攻击模式 底层实现 MFA 绕过能力 数据捕获范围 规避检测能力 适用客户PHP 静态页面模式 静态仿微软登录表单表单提交后仅上传账号密码至后台 无仅窃取静态凭证用户开启 MFA 则攻击失效 用户名、明文密码、访问 IP 中等无实时流量转发特征单一 基础订阅客户低成本小规模测试Node.js 反向代理 AiTM 模式 双向实时流量中继代理完整转发用户与微软服务器交互 完全绕过捕获 MFA 校验后生成的长效会话令牌 账号、密码、会话 Cookie、刷新令牌、设备指纹、地理位置 极高流量与正常微软登录无视觉差异无静态窃取特征 专业、企业级订阅客户规模化商业邮件欺诈3.2.1 PHP 静态页面模式基础流程该模式实现逻辑简单无流量中继能力仅作为入门级攻击方案平台生成仿微软 365 登录静态 HTML 页面页面表单 Action 地址指向 Kratos 后端 PHP 接收接口用户输入邮箱、密码点击登录表单数据 POST 提交至攻击者服务器后端 PHP 脚本接收数据打包为 JSON 推送至加盟商 Telegram 频道页面跳转伪造加载失败提示用户误以为账号输入错误不会产生风险怀疑缺陷为无法处理 MFA 校验流程用户完成二次验证后无任何令牌捕获攻击成功率极低仅用于无 MFA 防护的小型组织。3.2.2 Node.js 反向代理 AiTM 高阶攻击完整流程该模式为 Kratos 核心杀伤能力也是本次跨境执法重点打击功能模块完整执行流程分为六步受害者点击钓鱼链接流量跳转至 Kratos 前端人机验证页面通过 Turnstile 校验后接入 Node.js 反向代理代理服务器向微软官方登录域名发起长连接同步将受害者浏览器请求原样转发至login.microsoftonline.com页面完整渲染微软原生登录界面URL 地址栏显示代理域名但页面交互、弹窗、MFA 推送逻辑与官方完全一致用户输入账号密码、完成微软验证器推送 / 短信验证码 MFA 校验全部交互流量经代理中转微软身份服务器下发会话 Cookie、长效刷新令牌至代理服务器代理同步复制全套令牌留存后台再将原始流量转发回受害者浏览器受害者正常进入企业邮箱页面无任何异常感知攻击者使用留存令牌无需二次验证即可在任意终端登录受害账户批量实施持久化操作。3.3 Kratos 内置反检测、反分析规避机制平台为延长钓鱼链接存活周期内置多层流量过滤与环境检测逻辑规避邮件安全网关、网页信誉系统、安全厂商沙箱爬虫识别核心规避手段分为四类第一人机验证隔离自动化扫描接入 Cloudflare Turnstile、hCaptcha 无验证码人机校验所有访问流量必须完成验证方可进入钓鱼页面安全爬虫、自动化沙箱无法通过校验直接跳转空白无害页面恶意页面无法被安全厂商收录标记第二地理与设备黑白名单控制加盟商后台可配置目标国家白名单仅指定区域 IP 可访问钓鱼页面来自安全厂商、执法机构、研究机构集中地域的 IP 直接拦截区分移动端、桌面端流量仅对企业办公桌面终端展示完整仿登录页面第三浏览器环境检测校验访问终端是否开启开发者工具、是否运行于虚拟机、沙箱环境识别到分析环境直接阻断访问防止研究人员逆向页面代码、抓取代理特征第四多跳板可信域名分发支持加盟商绑定 Google Sites、被入侵正规网站、云服务商子域名作为跳转跳板多层可信域名中转拆分恶意流量链路网页过滤设备难以识别终端恶意代理节点。3.4 Kratos 标准化 AiTM 攻击杀伤链结合执法查获的真实攻击案例完整杀伤链分为诱饵投递、流量中转、代理劫持、令牌窃取、账户滥用、二次扩散六阶段全链路匹配 MITRE ATTCK 攻击矩阵诱饵投递初始访问 T1566.002加盟商发送鱼叉式商务邮件链接嵌入个性化邮箱参数自动填充登录页面配套 PDF 诱饵、QR 二维码、HTML 附件多载体引流人机校验与跳板跳转防御规避 T1656用户点击链接经多层可信站点跳转完成 Turnstile 人机验证后接入 Node.js 反向代理中间人流量中继凭证访问 T1557代理架设于用户与微软身份服务器之间实时转发全部登录、MFA 校验流量会话令牌截获凭证访问 T1528MFA 校验完成后代理复制微软下发的会话 Cookie、刷新令牌回传攻击者后台账户持久化滥用持久化 T1098攻击者利用令牌登录账户创建隐藏邮箱规则、注册恶意设备、导出通讯录与客户数据内部横向扩散收集 T1114依托受害企业邮箱向上下游合作方批量发送同类钓鱼邮件扩大攻击范围。4 Kratos 攻击检测与管控工程代码实现本章基于平台逆向源码、Microsoft Entra ID 审计日志、邮件网关流量检测场景提供三段可直接落地的工程代码覆盖 AiTM 代理逻辑复刻、钓鱼诱饵前置识别、云端异常会话审计无数学公式适配政企主流 Microsoft 365 安全运维环境。4.1 Node.js 简易反向代理复刻 Kratos 核心 AiTM 逻辑以下代码还原 Kratos 高阶攻击模式的基础反向代理功能仅用于安全研究、攻防演练场景用于直观展示中间人流量中继、会话 Cookie 捕获原理企业安全团队可基于该代码提取代理特征用于流量检测规则开发// Kratos AiTM反向代理核心逻辑演示代码仅用于安全研究const http require(http);const httpProxy require(http-proxy);const proxy httpProxy.createProxyServer({});const targetMicrosoft https://login.microsoftonline.com;// 捕获后端返回的会话Cookie、令牌数据proxy.on(proxyRes, function(proxyRes, req, res) {let cookieList proxyRes.headers[set-cookie];if(cookieList){// 本地存储捕获的身份Cookie对应Kratos数据回传模块let stolenSession {userAgent: req.headers[user-agent],ip: req.connection.remoteAddress,sessionCookies: cookieList};console.log(捕获受害者会话令牌数据, stolenSession);// 生产环境Kratos会同步推送至Telegram频道}});// 搭建本地代理服务接收用户前端请求const server http.createServer(function(req, res) {proxy.web(req, res, { target: targetMicrosoft, changeOrigin: true });});// 监听80端口提供代理接入server.listen(8080, (){console.log(AiTM反向代理服务启动监听8080端口);});代码说明该代理服务接收用户浏览器请求转发至微软官方登录地址同时拦截服务器返回的 Set-Cookie 头部完整留存会话身份凭证与 Kratos 平台核心劫持逻辑完全一致安全设备可检测出站流量中 changeOrigin 代理标识、异常跨域 Cookie 转发行为作为 AiTM 攻击识别特征。4.2 Python 邮件网关诱饵前置检测脚本部署于企业邮件安全网关自动扫描入站邮件链接、页面文本识别 Kratos 平台典型诱饵特征个性化邮箱参数、Turnstile 人机验证、微软仿登录跳转链路命中规则直接隔离高危邮件实现攻击投递阶段前置拦截import re# Kratos钓鱼诱饵特征正则库基于执法平台页面素材提取KRATOS_PHISH_RULES [# 链接携带自动填充邮箱参数re.compile(r\?email[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}, re.IGNORECASE),# 页面包含Turnstile人机验证标识re.compile(rchallenges.cloudflare.com/turnstile, re.IGNORECASE),# 跳转指向微软登录代理链路re.compile(rlogin\.microsoftonline\.com.*proxy, re.IGNORECASE),# BitB浏览器内弹窗诱导文案re.compile(r新窗口验证账户|单独窗口查看文档, re.IGNORECASE)]def scan_kratos_lure(email_body: str, link_list: list) - bool:扫描邮件正文与全部外链命中2条及以上规则判定为Kratos高危钓鱼返回True代表隔离邮件并推送安全告警hit_count 0# 扫描邮件正文文本for rule in KRATOS_PHISH_RULES:if rule.search(email_body):hit_count 1# 遍历邮件内所有外链逐一匹配特征for url in link_list:for rule in KRATOS_PHISH_RULES:if rule.search(url):hit_count 1return hit_count 2# 模拟邮件检测调用逻辑if __name__ __main__:sample_email_text 附件为合作财务报表点击链接查看https://malicious-domain.com/login?emailstaffcorp.commail_links [https://malicious-domain.com/login?emailstaffcorp.com]risk_flag scan_kratos_lure(sample_email_text, mail_links)if risk_flag:print(检测到Kratos AiTM钓鱼诱饵隔离邮件并触发安全告警)else:print(邮件无Kratos平台攻击特征正常放行)4.3 Kusto 查询Microsoft Sentinel AiTM 异常会话审计告警脚本依托 Entra ID 登录日志识别 Kratos 代理劫持产生的异常会话行为配置为实时高危告警规则攻击发生后 1 分钟内推送安全运营团队处置共两段核心查询语句。4.3.1 查询 1异常跨域会话 Cookie 复用检测Kratos 劫持的会话令牌会在短时间内从异地陌生 IP 发起二次登录该脚本匹配同一会话 ID、异地多 IP 登录行为kustoSigninLogs| where ResultType 0| extend SessionId tostring(RawDataStr.SessionId)| summarize LoginIPSet make_set(IPAddress), LoginCount count() by UserPrincipalName, SessionId, bin(TimeGenerated,1h)| where array_length(LoginIPSet) 1| project TimeGenerated, UserPrincipalName, SessionId, LoginIPSet, LoginCount4.3.2 查询 2反向代理特征登录行为检索匹配流量代理转发产生的异常客户端标识、跨域访问记录精准定位 AiTM 中间人攻击登录事件kustoSigninLogs| where ResultType 0| extend RawJson parse_json(RawDataStr)// 匹配代理转发带来的异常Origin跨域标识| where RawJson has Origin and RawJson.Origin !contains microsoftonline.com| project TimeGenerated, UserPrincipalName, IPAddress, LocationDetails, AppDisplayName, RawJson.Origin5 面向 Kratos 类 PhaaS 攻击的四层闭环防御与跨境执法协同体系反网络钓鱼技术专家芦笛提出 “流量前置拦截 - 身份日志检测 - 终端浏览器加固 - 跨境情报协同” 四维防护框架结合奥林匹斯之刃跨境打击行动经验构建四层递进式闭环防御体系同时梳理跨境网络犯罪协同处置流程弥补单一企业安全管控的局限性。5.1 第一层邮件与网页网关流量前置拦截事前阻断攻击投递本层为第一道防护关口从诱饵投递链路阻断 Kratos 钓鱼流量分为三项标准化落地措施部署诱饵特征检测脚本将 4.2 节 Python 检测脚本集成至邮件安全网关对所有外部入站邮件正文、外链、附件进行特征扫描命中 Kratos 专属规则直接隔离阻断诱饵抵达终端开启网页代理流量过滤在边界防火墙、Web 网关配置 AiTM 反向代理特征规则拦截携带 changeOrigin 跨域代理标识、大量重复 Set-Cookie 转发的出站流量全网封禁未授权 Cloudflare Turnstile 人机验证页面消除平台反爬虫规避基础可信跳板域名管控对 Google Sites、第三方免费托管站点、存在开放重定向漏洞的合规网站实施访问管控限制员工通过此类站点跳转外部未知链接切断 Kratos 多层跳转链路。5.2 第二层Microsoft Entra ID 云端身份日志实时检测事中快速告警处置依托 Microsoft Sentinel、XDR 平台部署 4.3 节 KQL 审计规则实现会话劫持行为实时识别配套分级处置流程告警分级处置机制单一异地 IP 复用会话 ID 标记为二级告警人工复核账户风险短时间多地域、多设备复用同一会话令牌标记为一级高危告警系统自动吊销全部账户会话、临时冻结账号登录权限风险上下文基线管控建立用户登录基线记录常规登录地域、设备、时段匹配基线外的异常登录行为叠加 AiTM 代理特征提升告警精准度降低误报令牌生命周期加固在条件访问策略中开启会话令牌设备绑定限制 Cookie、刷新令牌跨终端、跨地域复用即使攻击者截获会话令牌跨环境访问直接失效削弱 Kratos 劫持收益。5.3 第三层终端浏览器安全加固层缩小攻击危害范围Kratos 依托浏览器页面渲染、Cookie 存储实现会话劫持终端侧管控可大幅降低攻击成功率落地措施包含三点浏览器安全基线管控终端统一部署企业托管浏览器禁用第三方未授权浏览器扩展关闭页面内独立弹窗渲染权限阻断 BitB 浏览器内浏览器攻击窗口展示前端仿页风险提示配置浏览器网页过滤规则当访问非微软官方域名但渲染微软登录页面时强制弹出高危风险提示引导用户关闭页面终端行为管控限制员工办公终端访问匿名代理、加密通讯工具 Telegram阻断攻击者通过终端渠道接收劫持凭证的二次传播路径。5.4 第四层跨境威胁情报与执法协同层长效削弱 PhaaS 黑产生存根基单家企业防护仅能抵御攻击落地无法根除 Kratos 类 PhaaS 平台规模化威胁结合奥林匹斯之刃跨境执法行动经验建立政企、安全厂商、公安网安协同情报机制安全厂商情报共享对接趋势科技等厂商威胁情报平台实时同步 Kratos 恶意域名、攻击者 IP、钓鱼模板特征、IOC 指标网关、身份平台自动导入黑名单拦截政企情报上报闭环企业监测到 Kratos 攻击行为后留存完整邮件诱饵、代理 URL、攻击日志同步上报属地网络安全执法部门形成区域性攻击数据汇总为跨境联合打击提供证据支撑跨境执法协同约束分析本次奥林匹斯之刃行动暴露跨境打击客观局限平台服务器分散多国、开发者定居境外、黑产客户遍布全球取证、抓捕、资产查封流程协调周期长加密货币支付链路溯源难度高赃款追缴效率低国内企业需同步建立境内证据固定、数据留存规范为后续跨国协查提供完整取证材料。5.5 奥林匹斯之刃行动对 PhaaS 治理的启示本次联合执法成功瓦解 Kratos 平台但其治理模式存在明显局限性为全球网络安全治理提供三点客观启示第一单一平台打击无法彻底消除同类威胁Kratos 下线后同类 AiTM 钓鱼工具会快速迭代更名、更换基础设施重新上线仅依靠跨境抓捕无法根治 PhaaS 工业化攻击必须同步强化企业侧身份防护能力第二加密通讯、加密货币是 PhaaS 黑产核心隐匿工具Telegram 私密群组、匿名加密货币大幅提升溯源难度全球需建立统一的加密资产、加密通讯数据协查机制第三云服务商托管基础设施成为黑产跳板Google Sites、海外廉价云主机、被入侵合规网站持续被 PhaaS 平台滥用云服务商需强化子域名、免费站点的恶意行为监测能力主动配合执法机构关停恶意节点。6 结论与研究展望6.1 核心研究结论本文依托 2026 年 7 月 The Register 披露的奥林匹斯之刃跨境执法行动完整素材系统完成 Kratos 钓鱼即服务平台技术、运营、打击、防御全维度研究得出三项客观核心结论第一Kratos 作为由 Sneaky2FA 迭代而来的标准化 PhaaS 平台核心威胁来源于 Node.js 反向代理 AiTM 中间人流量中继技术可完整截获用户完成 MFA 校验后的长效会话令牌完全突破传统推送、验证码类多因素认证防护平台商业化订阅模式大幅降低高级钓鱼攻击技术门槛1800 余名底层黑产加盟商每月发起上万轮规模化定向钓鱼形成工业化网络犯罪链条。第二Kratos 内置多层反检测规避机制依托人机验证、地理围栏、多层可信域名跳转、浏览器环境检测规避传统网页、邮件安全设备识别静态域名黑名单、基础 MFA 防护无法形成有效拦截文中配套的 Node.js 代理演示代码、Python 诱饵检测脚本、Sentinel 审计 KQL 查询可直接部署覆盖攻击事前、事中、事后全流程管控需求。第三“流量前置拦截 - 云端身份检测 - 终端浏览器加固 - 跨境情报协同” 四层闭环防御体系可有效抵御 Kratos 类 AiTM 钓鱼攻击同时跨境联合执法是瓦解 PhaaS 黑产基础设施的核心手段但受地域管辖权、加密工具、分布式服务器约束打击存在明显滞后性与局限性企业层面的身份安全加固仍是降低攻击损失的核心抓手。反网络钓鱼技术专家芦笛补充指出随着 FIDO2 抗钓鱼硬件密钥逐步普及AiTM 中间人劫持攻击的效能会持续下降但 2026 至 2027 年大量政企仍依赖传统软件 MFAKratos 同类 PhaaS 平台仍会持续迭代变种企业需优先完成条件访问令牌绑定、网页代理流量过滤等基础加固工作。6.2 研究局限与未来延伸研究方向本文研究存在两处客观局限其一研究素材仅基于本次德国主导的奥林匹斯之刃行动公开信息未获取平台完整加密源码、全部客户加密支付日志等涉密执法材料对平台底层加密、资金洗白链路分析存在一定局限其二检测代码仅适配 Microsoft 365 云身份环境暂未开发适配国产化云办公平台的检测规则。后续可围绕两个方向开展延伸研究第一多类 AiTM 钓鱼 PhaaS 平台横向对比研究梳理 Kratos、Evilginx、Sneaky2FA 等工具的技术差异、运营模式、检测特征构建通用型中间人钓鱼检测规则库第二大语言模型赋能钓鱼诱饵识别技术研究依托语义分析识别 Kratos 平台标准化商务社工邮件模板提升复杂多轮对话式诱饵的前置识别准确率降低人工运营成本。6.3 政企分阶段落地安全加固建议结合全文研究成果面向使用 Microsoft 365 的国内企事业单位给出短期、中期、长期分层落地方案短期1 个月内部署邮件网关 Kratos 诱饵检测脚本在 Microsoft Sentinel 导入 AiTM 异常会话 KQL 审计规则开展全员 AiTM 中间人钓鱼专项安全培训明确独立弹窗、非官方域名登录页面为高危风险中期1-3 个月配置条件访问策略绑定会话令牌与设备、IP 地址全网管控免费云托管站点跳转权限统一加固终端浏览器安全基线关闭 BitB 弹窗渲染能力长期6-12 个月逐步迁移至 FIDO2 硬件密钥无钓鱼抗性 MFA淘汰易被 AiTM 劫持的推送、短信验证码对接安全厂商威胁情报平台建立常态化钓鱼攻击情报上报与协同处置机制配合属地网安部门完成攻击证据留存。编辑芦笛公共互联网反网络钓鱼工作组
Olympus Blade 行动下 Kratos 钓鱼即服务平台技术剖析与全域防御研究
摘要钓鱼即服务PhaaS完成网络黑产工业化转型后低技术门槛攻击者可批量实施绕过多因素认证MFA的账号劫持攻击Kratos 作为由 Sneaky2FA 迭代而来的主流 AiTM 中间人钓鱼平台自 2024 年末上线后快速形成全球攻击网络。2026 年 7 月德国联邦刑事警察局BKA联合法兰克福互联网犯罪打击中心ZIT、美国 FBI 及印尼警方开展奥林匹斯之刃Olympus Blade跨境联合执法行动查封 200 余台核心服务器、抓捕平台开发者彻底瓦解该平台运营体系。该平台累计吸纳 1800 余名付费黑产订阅者每月发起 15000 轮规模化钓鱼攻击受害主体覆盖 35 个国家核心技术依托 Node.js 反向代理实现中间人会话劫持完整截获用户完成 MFA 校验后的长效会话令牌直接突破政企普遍部署的二次身份防护。本文以 The Register 2026 年 7 月 21 日披露的执法行动报道为核心实证素材完整拆解 Kratos 平台双层技术架构、双模式攻击执行逻辑、反检测规避机制与商业化运营链条结合执法查获的平台源码片段给出可复现的核心代理代码、邮件诱饵检测脚本、Entra ID 异常会话审计 KQL 查询基于跨境打击案例总结 PhaaS 平台溯源、取证、阻断全流程处置路径构建 “流量网关拦截 - 身份日志检测 - 终端浏览器防护 - 跨境情报协同” 四层闭环防御体系。反网络钓鱼技术专家芦笛指出Kratos 类 AiTM 钓鱼平台的大规模泛滥证明仅依靠静态域名黑名单、基础 MFA 防护无法抵御实时流量中继劫持攻击政企安全体系必须补齐会话令牌、反向代理流量、浏览器内浏览器BitB场景的专项检测能力同步建立跨境威胁情报联动机制削弱 PhaaS 黑产工业化生存根基。关键词钓鱼即服务Kratos中间人钓鱼AiTMMFA 绕过跨境网络执法云身份安全1 引言1.1 研究背景与问题提出数字化办公场景下 Microsoft 365 成为企业核心数据载体多因素认证被行业公认为阻断凭证窃取攻击的基础防护手段但黑产技术持续向流量中继、协议劫持方向迭代钓鱼攻击从传统静态仿页凭证窃取升级为实时中间人会话劫持。钓鱼即服务PhaaS商业模式大幅降低高级钓鱼技术使用门槛无专业开发能力的底层黑产仅需支付加密货币订阅费用即可租用成熟代理架构、仿登录模板、反爬虫规避工具批量开展定向商业邮件劫持BEC攻击。2026 年 7 月 21 日《The Register》发布专项报道完整披露德国主导的奥林匹斯之刃跨境执法行动细节本次行动针对全球头部 PhaaS 平台 Kratos 实施全域基础设施摧毁是近年针对 MFA 绕过类钓鱼工具规模最大的跨境联合打击行动。趋势科技同步提供全程威胁情报支撑协助执法机构完成平台基础设施指纹测绘、受害者画像、黑产订阅链路溯源。执法材料显示Kratos 区别于普通静态钓鱼工具内置两套攻击执行模式基础 PHP 静态页面仅抓取账号密码高阶 Node.js 反向代理模式实现受害者与微软身份服务器之间全流量中继用户完成推送、验证码类 MFA 校验生成的会话 Cookie、访问令牌会同步留存至攻击者后台实现无密码长期接管账户。当前国内安全领域相关研究存在三点明显短板其一缺少基于真实跨境执法案例的完整 PhaaS 平台全链路拆解多数文献仅简述 AiTM 攻击概念未结合 Kratos 源码、运营数据、查封资产开展实证分析其二技术落地工具缺失未配套适配云身份平台、邮件网关、浏览器终端的检测代码企业安全团队难以直接复用其三防御方案局限于单点技术管控未结合跨境网络犯罪打击逻辑构建情报协同闭环缺少针对 PhaaS 工业化运营模式的长效治理思路。针对上述空白本文依托本次跨境执法公开材料系统完成 Kratos 平台技术、运营、打击、防御全维度研究。1.2 研究边界与核心研究内容本文研究边界限定于 Kratos原 Sneaky2FAPhaaS 平台针对 Microsoft Entra ID、Microsoft 365 实施的中间人钓鱼攻击聚焦奥林匹斯之刃跨境执法行动披露的技术细节、运营数据、查封资产不拓展其他类型钓鱼工具、移动端短信劫持、设备码钓鱼等平行攻击手段。核心研究内容分为四模块第一梳理 Kratos 平台演化脉络与商业化运营体系拆解黑产订阅、支付、诱饵分发、数据回传完整商业链路第二分层解析 Kratos 前后端技术架构对比静态凭证抓取、反向代理 AiTM 两种攻击模式的实现逻辑梳理平台内置的反爬虫、地理围栏、浏览器指纹规避机制第三提供三类工程化落地代码Node.js 代理核心功能复刻片段、邮件网关诱饵检测 Python 脚本、Microsoft Sentinel 异常会话审计 KQL 查询覆盖攻击事前拦截、事中告警、事后溯源第四结合本次跨境执法实践构建四层全域纵深防御体系同步总结政企单位应对 PhaaS 规模化攻击的分阶段落地路径客观分析跨境联合打击的局限性与优化方向。1.3 全文结构安排本文共分为六大章节第一章为引言阐述研究背景、现有研究短板、研究边界与整体框架第二章界定 PhaaS、AiTM 中间人钓鱼核心概念梳理 Kratos 平台发展历程与商业化运营模式第三章基于执法公开材料拆解 Kratos 双层技术架构、双攻击模式、反检测规避机制还原标准化攻击杀伤链第四章提供可直接部署的三类工程代码分别实现攻击模拟、前置检测、云端审计告警第五章搭建四层闭环防御体系同步结合奥林匹斯之刃行动总结跨境网络犯罪打击流程与现存约束第六章为结论与研究展望总结核心研究结论预判 PhaaS 平台迭代趋势给出政企分阶段安全加固落地建议。2 Kratos 钓鱼即服务平台基础理论与商业运营体系2.1 核心概念界定2.1.1 钓鱼即服务PhaaSPhaaS 是网络黑产工业化产物犯罪开发者搭建标准化钓鱼基础设施以订阅制、租赁制向底层攻击者开放全套钓鱼能力使用者无需独立开发仿登录页面、反向代理服务器、数据存储节点仅通过后台可视化面板配置诱饵、目标域名、回传渠道即可批量发起攻击。支付渠道以比特币、门罗币等匿名加密货币为主客户管理、工单服务、攻击数据查看依托加密通讯工具 Telegram 完成整体运营完全脱离正规互联网监管链路。2.1.2 AiTM 中间人钓鱼技术Adversary-in-the-MiddleAiTM中间人钓鱼依托反向代理服务器架设于受害者与合法身份服务商之间用户所有登录请求、MFA 校验流量均经攻击者服务器中转。与静态仿页钓鱼核心差异为静态页面仅捕获用户输入的账号密码无法获取 MFA 校验后下发的会话令牌AiTM 代理可完整中继全部交互流量同步留存长效 Cookie、刷新令牌攻击者无需重复验证身份即可长期登录受害账户传统 MFA 防护逻辑完全失效。反网络钓鱼技术专家芦笛强调AiTM 攻击是当前 MFA 防护体系最大短板传统网页信誉过滤、域名黑名单无法识别实时流量中继行为仅能依靠会话上下文风险检测识别异常。2.1.3 Kratos 平台演化脉络Kratos 前身为 2024 年 10 月上线的 Sneaky2FA 工具早期仅提供基础 Node.js 反向代理 AiTM 能力依托 Telegram 小众渠道售卖2025 年末完成架构重构并更名 Kratos新增静态 PHP 钓鱼页面、浏览器内浏览器BitB弹窗、反爬虫校验、地理访问控制、多渠道数据回传、可视化运营后台等功能转型为标准化 PhaaS 平台2026 年上半年平台规模爆发付费订阅者突破 1800 人月均钓鱼 campaigns 稳定在 15000 轮成为欧洲、北美针对企业 Microsoft 365 账户劫持的核心工具最终触发德美联合跨境执法行动。2.2 Kratos 平台商业化运营全链路基于 BKA、ZIT 执法公开运营数据Kratos 形成完整闭环黑产商业链条分为开发运维、渠道分销、客户攻击、赃款变现四大环节各环节分工独立、人员隔离大幅提升溯源打击难度。开发运维环节平台唯一开发者与技术管理员定居印尼负责服务器运维、工具版本迭代、漏洞修复、客户技术支持持有全部 200 余台核心服务器控制权所有源码、客户数据、攻击日志集中存储于查封服务器集群执法统计显示平台自 2024 年末累计非法营收超过 30 万欧元全部通过加密货币结算。渠道分销环节依托 Telegram 加密机器人、私密群组完成获客不公开投放引流广告采用老客户推荐裂变模式订阅档位划分基础版、专业版、企业版档位差异体现在代理带宽、并发攻击数量、BitB 弹窗功能、多渠道数据回传权限按月收取加密货币订阅费。客户攻击执行环节付费订阅者黑产加盟商登录专属后台可视化配置钓鱼模板、目标行业、访问限制规则平台自动生成带个性化邮箱参数的钓鱼链接、QR 二维码、HTML 诱饵附件攻击产生的账号凭证、会话令牌实时推送至客户私有 Telegram 频道同时本地存储于平台服务器日志。赃款变现环节加盟商利用劫持账户实施商业邮件诈骗、内部二次钓鱼、企业数据窃取窃取资金拆分至多层匿名钱包完成混币洗白被盗账户数据批量打包在暗网交易市场售卖形成二次非法收益。2.3 Kratos 平台客户与受害者画像特征执法机构梳理平台全部订阅客户与受害主体数据呈现清晰地域、行业分布规律客户侧1800 余名加盟商主要分布在东欧、东南亚、南美低监管地区多数无高级编程能力仅掌握基础邮件群发操作购买平台服务的核心诉求是绕过企业 MFA 防护实施商业邮件欺诈受害者侧受害主体覆盖 35 个国家集中于欧盟各国、美国高风险行业为制造业、金融、律所、医疗、零售诱饵主题以税务单据、合作文档、薪资报表、客户档案为主定向投放企业高管、财务、行政岗位员工此类人员账户权限高沦陷后造成的数据泄露、资金损失风险显著高于普通员工。3 Kratos 平台技术架构、攻击模式与杀伤链实证分析本章基于 ANY.RUN 沙箱逆向源码、德国执法查封服务器日志、趋势科技威胁情报素材完整拆解 Kratos 前后端分层架构、两套攻击执行模式、内置反检测规避机制还原标准化中间人钓鱼完整杀伤链。3.1 Kratos 整体分层技术架构平台采用前后端解耦分布式架构分为前端接入层、核心代理处理层、数据存储与回传层、管理控制面板四层四层架构相互隔离单一节点下线不影响整体攻击链路稳定性提升平台抗查封、抗检测能力。前端接入层部署于第三方可信云主机、被入侵合法网站子域名、Google Sites 等免费托管站点承载静态仿微软登录页面、Turnstile 人机验证弹窗内置地理围栏、设备指纹过滤逻辑拦截安全爬虫、沙箱 IP、研究人员终端访问仅放行目标国家普通用户流量页面支持 BitB 浏览器内浏览器弹窗渲染模拟独立登录窗口弱化用户域名异常感知。核心代理处理层平台核心功能模块分为 PHP 静态抓取子模块、Node.js 反向代理 AiTM 子模块由加盟商自主选择启用Node.js 模块建立受害者浏览器与login.microsoftonline.com之间持久双向流量通道实时转发 GET/POST 请求同步抓取 Cookie、ID 令牌、刷新令牌是实现 MFA 绕过的核心组件。数据存储与回传层攻击产生的凭证、会话数据双路径存储本地以 JSON 格式留存于服务器日志目录同时通过 Telegram Bot 接口实时推送至加盟商私有加密频道支持自定义 SMTP 邮件回传渠道适配无 Telegram 使用习惯的黑产客户。管理控制面板层独立加密后台加盟商通过独立账号密码登录内置 Campaign 管理、流量统计、受害者地理位置分析、诱饵生成、访问黑白名单配置功能后台自身叠加 Telegram 二次 MFA 校验防止无关人员越权访问客户攻击数据。奥林匹斯之刃查封公告页面3.2 Kratos 双攻击模式技术实现对比平台提供两套独立攻击执行方案适配不同黑产客户技术需求与风险承受能力二者技术实现、威胁强度、检测难度存在显著差异如表 1 所示表 1 Kratos 双攻击模式技术特征对比表格攻击模式 底层实现 MFA 绕过能力 数据捕获范围 规避检测能力 适用客户PHP 静态页面模式 静态仿微软登录表单表单提交后仅上传账号密码至后台 无仅窃取静态凭证用户开启 MFA 则攻击失效 用户名、明文密码、访问 IP 中等无实时流量转发特征单一 基础订阅客户低成本小规模测试Node.js 反向代理 AiTM 模式 双向实时流量中继代理完整转发用户与微软服务器交互 完全绕过捕获 MFA 校验后生成的长效会话令牌 账号、密码、会话 Cookie、刷新令牌、设备指纹、地理位置 极高流量与正常微软登录无视觉差异无静态窃取特征 专业、企业级订阅客户规模化商业邮件欺诈3.2.1 PHP 静态页面模式基础流程该模式实现逻辑简单无流量中继能力仅作为入门级攻击方案平台生成仿微软 365 登录静态 HTML 页面页面表单 Action 地址指向 Kratos 后端 PHP 接收接口用户输入邮箱、密码点击登录表单数据 POST 提交至攻击者服务器后端 PHP 脚本接收数据打包为 JSON 推送至加盟商 Telegram 频道页面跳转伪造加载失败提示用户误以为账号输入错误不会产生风险怀疑缺陷为无法处理 MFA 校验流程用户完成二次验证后无任何令牌捕获攻击成功率极低仅用于无 MFA 防护的小型组织。3.2.2 Node.js 反向代理 AiTM 高阶攻击完整流程该模式为 Kratos 核心杀伤能力也是本次跨境执法重点打击功能模块完整执行流程分为六步受害者点击钓鱼链接流量跳转至 Kratos 前端人机验证页面通过 Turnstile 校验后接入 Node.js 反向代理代理服务器向微软官方登录域名发起长连接同步将受害者浏览器请求原样转发至login.microsoftonline.com页面完整渲染微软原生登录界面URL 地址栏显示代理域名但页面交互、弹窗、MFA 推送逻辑与官方完全一致用户输入账号密码、完成微软验证器推送 / 短信验证码 MFA 校验全部交互流量经代理中转微软身份服务器下发会话 Cookie、长效刷新令牌至代理服务器代理同步复制全套令牌留存后台再将原始流量转发回受害者浏览器受害者正常进入企业邮箱页面无任何异常感知攻击者使用留存令牌无需二次验证即可在任意终端登录受害账户批量实施持久化操作。3.3 Kratos 内置反检测、反分析规避机制平台为延长钓鱼链接存活周期内置多层流量过滤与环境检测逻辑规避邮件安全网关、网页信誉系统、安全厂商沙箱爬虫识别核心规避手段分为四类第一人机验证隔离自动化扫描接入 Cloudflare Turnstile、hCaptcha 无验证码人机校验所有访问流量必须完成验证方可进入钓鱼页面安全爬虫、自动化沙箱无法通过校验直接跳转空白无害页面恶意页面无法被安全厂商收录标记第二地理与设备黑白名单控制加盟商后台可配置目标国家白名单仅指定区域 IP 可访问钓鱼页面来自安全厂商、执法机构、研究机构集中地域的 IP 直接拦截区分移动端、桌面端流量仅对企业办公桌面终端展示完整仿登录页面第三浏览器环境检测校验访问终端是否开启开发者工具、是否运行于虚拟机、沙箱环境识别到分析环境直接阻断访问防止研究人员逆向页面代码、抓取代理特征第四多跳板可信域名分发支持加盟商绑定 Google Sites、被入侵正规网站、云服务商子域名作为跳转跳板多层可信域名中转拆分恶意流量链路网页过滤设备难以识别终端恶意代理节点。3.4 Kratos 标准化 AiTM 攻击杀伤链结合执法查获的真实攻击案例完整杀伤链分为诱饵投递、流量中转、代理劫持、令牌窃取、账户滥用、二次扩散六阶段全链路匹配 MITRE ATTCK 攻击矩阵诱饵投递初始访问 T1566.002加盟商发送鱼叉式商务邮件链接嵌入个性化邮箱参数自动填充登录页面配套 PDF 诱饵、QR 二维码、HTML 附件多载体引流人机校验与跳板跳转防御规避 T1656用户点击链接经多层可信站点跳转完成 Turnstile 人机验证后接入 Node.js 反向代理中间人流量中继凭证访问 T1557代理架设于用户与微软身份服务器之间实时转发全部登录、MFA 校验流量会话令牌截获凭证访问 T1528MFA 校验完成后代理复制微软下发的会话 Cookie、刷新令牌回传攻击者后台账户持久化滥用持久化 T1098攻击者利用令牌登录账户创建隐藏邮箱规则、注册恶意设备、导出通讯录与客户数据内部横向扩散收集 T1114依托受害企业邮箱向上下游合作方批量发送同类钓鱼邮件扩大攻击范围。4 Kratos 攻击检测与管控工程代码实现本章基于平台逆向源码、Microsoft Entra ID 审计日志、邮件网关流量检测场景提供三段可直接落地的工程代码覆盖 AiTM 代理逻辑复刻、钓鱼诱饵前置识别、云端异常会话审计无数学公式适配政企主流 Microsoft 365 安全运维环境。4.1 Node.js 简易反向代理复刻 Kratos 核心 AiTM 逻辑以下代码还原 Kratos 高阶攻击模式的基础反向代理功能仅用于安全研究、攻防演练场景用于直观展示中间人流量中继、会话 Cookie 捕获原理企业安全团队可基于该代码提取代理特征用于流量检测规则开发// Kratos AiTM反向代理核心逻辑演示代码仅用于安全研究const http require(http);const httpProxy require(http-proxy);const proxy httpProxy.createProxyServer({});const targetMicrosoft https://login.microsoftonline.com;// 捕获后端返回的会话Cookie、令牌数据proxy.on(proxyRes, function(proxyRes, req, res) {let cookieList proxyRes.headers[set-cookie];if(cookieList){// 本地存储捕获的身份Cookie对应Kratos数据回传模块let stolenSession {userAgent: req.headers[user-agent],ip: req.connection.remoteAddress,sessionCookies: cookieList};console.log(捕获受害者会话令牌数据, stolenSession);// 生产环境Kratos会同步推送至Telegram频道}});// 搭建本地代理服务接收用户前端请求const server http.createServer(function(req, res) {proxy.web(req, res, { target: targetMicrosoft, changeOrigin: true });});// 监听80端口提供代理接入server.listen(8080, (){console.log(AiTM反向代理服务启动监听8080端口);});代码说明该代理服务接收用户浏览器请求转发至微软官方登录地址同时拦截服务器返回的 Set-Cookie 头部完整留存会话身份凭证与 Kratos 平台核心劫持逻辑完全一致安全设备可检测出站流量中 changeOrigin 代理标识、异常跨域 Cookie 转发行为作为 AiTM 攻击识别特征。4.2 Python 邮件网关诱饵前置检测脚本部署于企业邮件安全网关自动扫描入站邮件链接、页面文本识别 Kratos 平台典型诱饵特征个性化邮箱参数、Turnstile 人机验证、微软仿登录跳转链路命中规则直接隔离高危邮件实现攻击投递阶段前置拦截import re# Kratos钓鱼诱饵特征正则库基于执法平台页面素材提取KRATOS_PHISH_RULES [# 链接携带自动填充邮箱参数re.compile(r\?email[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}, re.IGNORECASE),# 页面包含Turnstile人机验证标识re.compile(rchallenges.cloudflare.com/turnstile, re.IGNORECASE),# 跳转指向微软登录代理链路re.compile(rlogin\.microsoftonline\.com.*proxy, re.IGNORECASE),# BitB浏览器内弹窗诱导文案re.compile(r新窗口验证账户|单独窗口查看文档, re.IGNORECASE)]def scan_kratos_lure(email_body: str, link_list: list) - bool:扫描邮件正文与全部外链命中2条及以上规则判定为Kratos高危钓鱼返回True代表隔离邮件并推送安全告警hit_count 0# 扫描邮件正文文本for rule in KRATOS_PHISH_RULES:if rule.search(email_body):hit_count 1# 遍历邮件内所有外链逐一匹配特征for url in link_list:for rule in KRATOS_PHISH_RULES:if rule.search(url):hit_count 1return hit_count 2# 模拟邮件检测调用逻辑if __name__ __main__:sample_email_text 附件为合作财务报表点击链接查看https://malicious-domain.com/login?emailstaffcorp.commail_links [https://malicious-domain.com/login?emailstaffcorp.com]risk_flag scan_kratos_lure(sample_email_text, mail_links)if risk_flag:print(检测到Kratos AiTM钓鱼诱饵隔离邮件并触发安全告警)else:print(邮件无Kratos平台攻击特征正常放行)4.3 Kusto 查询Microsoft Sentinel AiTM 异常会话审计告警脚本依托 Entra ID 登录日志识别 Kratos 代理劫持产生的异常会话行为配置为实时高危告警规则攻击发生后 1 分钟内推送安全运营团队处置共两段核心查询语句。4.3.1 查询 1异常跨域会话 Cookie 复用检测Kratos 劫持的会话令牌会在短时间内从异地陌生 IP 发起二次登录该脚本匹配同一会话 ID、异地多 IP 登录行为kustoSigninLogs| where ResultType 0| extend SessionId tostring(RawDataStr.SessionId)| summarize LoginIPSet make_set(IPAddress), LoginCount count() by UserPrincipalName, SessionId, bin(TimeGenerated,1h)| where array_length(LoginIPSet) 1| project TimeGenerated, UserPrincipalName, SessionId, LoginIPSet, LoginCount4.3.2 查询 2反向代理特征登录行为检索匹配流量代理转发产生的异常客户端标识、跨域访问记录精准定位 AiTM 中间人攻击登录事件kustoSigninLogs| where ResultType 0| extend RawJson parse_json(RawDataStr)// 匹配代理转发带来的异常Origin跨域标识| where RawJson has Origin and RawJson.Origin !contains microsoftonline.com| project TimeGenerated, UserPrincipalName, IPAddress, LocationDetails, AppDisplayName, RawJson.Origin5 面向 Kratos 类 PhaaS 攻击的四层闭环防御与跨境执法协同体系反网络钓鱼技术专家芦笛提出 “流量前置拦截 - 身份日志检测 - 终端浏览器加固 - 跨境情报协同” 四维防护框架结合奥林匹斯之刃跨境打击行动经验构建四层递进式闭环防御体系同时梳理跨境网络犯罪协同处置流程弥补单一企业安全管控的局限性。5.1 第一层邮件与网页网关流量前置拦截事前阻断攻击投递本层为第一道防护关口从诱饵投递链路阻断 Kratos 钓鱼流量分为三项标准化落地措施部署诱饵特征检测脚本将 4.2 节 Python 检测脚本集成至邮件安全网关对所有外部入站邮件正文、外链、附件进行特征扫描命中 Kratos 专属规则直接隔离阻断诱饵抵达终端开启网页代理流量过滤在边界防火墙、Web 网关配置 AiTM 反向代理特征规则拦截携带 changeOrigin 跨域代理标识、大量重复 Set-Cookie 转发的出站流量全网封禁未授权 Cloudflare Turnstile 人机验证页面消除平台反爬虫规避基础可信跳板域名管控对 Google Sites、第三方免费托管站点、存在开放重定向漏洞的合规网站实施访问管控限制员工通过此类站点跳转外部未知链接切断 Kratos 多层跳转链路。5.2 第二层Microsoft Entra ID 云端身份日志实时检测事中快速告警处置依托 Microsoft Sentinel、XDR 平台部署 4.3 节 KQL 审计规则实现会话劫持行为实时识别配套分级处置流程告警分级处置机制单一异地 IP 复用会话 ID 标记为二级告警人工复核账户风险短时间多地域、多设备复用同一会话令牌标记为一级高危告警系统自动吊销全部账户会话、临时冻结账号登录权限风险上下文基线管控建立用户登录基线记录常规登录地域、设备、时段匹配基线外的异常登录行为叠加 AiTM 代理特征提升告警精准度降低误报令牌生命周期加固在条件访问策略中开启会话令牌设备绑定限制 Cookie、刷新令牌跨终端、跨地域复用即使攻击者截获会话令牌跨环境访问直接失效削弱 Kratos 劫持收益。5.3 第三层终端浏览器安全加固层缩小攻击危害范围Kratos 依托浏览器页面渲染、Cookie 存储实现会话劫持终端侧管控可大幅降低攻击成功率落地措施包含三点浏览器安全基线管控终端统一部署企业托管浏览器禁用第三方未授权浏览器扩展关闭页面内独立弹窗渲染权限阻断 BitB 浏览器内浏览器攻击窗口展示前端仿页风险提示配置浏览器网页过滤规则当访问非微软官方域名但渲染微软登录页面时强制弹出高危风险提示引导用户关闭页面终端行为管控限制员工办公终端访问匿名代理、加密通讯工具 Telegram阻断攻击者通过终端渠道接收劫持凭证的二次传播路径。5.4 第四层跨境威胁情报与执法协同层长效削弱 PhaaS 黑产生存根基单家企业防护仅能抵御攻击落地无法根除 Kratos 类 PhaaS 平台规模化威胁结合奥林匹斯之刃跨境执法行动经验建立政企、安全厂商、公安网安协同情报机制安全厂商情报共享对接趋势科技等厂商威胁情报平台实时同步 Kratos 恶意域名、攻击者 IP、钓鱼模板特征、IOC 指标网关、身份平台自动导入黑名单拦截政企情报上报闭环企业监测到 Kratos 攻击行为后留存完整邮件诱饵、代理 URL、攻击日志同步上报属地网络安全执法部门形成区域性攻击数据汇总为跨境联合打击提供证据支撑跨境执法协同约束分析本次奥林匹斯之刃行动暴露跨境打击客观局限平台服务器分散多国、开发者定居境外、黑产客户遍布全球取证、抓捕、资产查封流程协调周期长加密货币支付链路溯源难度高赃款追缴效率低国内企业需同步建立境内证据固定、数据留存规范为后续跨国协查提供完整取证材料。5.5 奥林匹斯之刃行动对 PhaaS 治理的启示本次联合执法成功瓦解 Kratos 平台但其治理模式存在明显局限性为全球网络安全治理提供三点客观启示第一单一平台打击无法彻底消除同类威胁Kratos 下线后同类 AiTM 钓鱼工具会快速迭代更名、更换基础设施重新上线仅依靠跨境抓捕无法根治 PhaaS 工业化攻击必须同步强化企业侧身份防护能力第二加密通讯、加密货币是 PhaaS 黑产核心隐匿工具Telegram 私密群组、匿名加密货币大幅提升溯源难度全球需建立统一的加密资产、加密通讯数据协查机制第三云服务商托管基础设施成为黑产跳板Google Sites、海外廉价云主机、被入侵合规网站持续被 PhaaS 平台滥用云服务商需强化子域名、免费站点的恶意行为监测能力主动配合执法机构关停恶意节点。6 结论与研究展望6.1 核心研究结论本文依托 2026 年 7 月 The Register 披露的奥林匹斯之刃跨境执法行动完整素材系统完成 Kratos 钓鱼即服务平台技术、运营、打击、防御全维度研究得出三项客观核心结论第一Kratos 作为由 Sneaky2FA 迭代而来的标准化 PhaaS 平台核心威胁来源于 Node.js 反向代理 AiTM 中间人流量中继技术可完整截获用户完成 MFA 校验后的长效会话令牌完全突破传统推送、验证码类多因素认证防护平台商业化订阅模式大幅降低高级钓鱼攻击技术门槛1800 余名底层黑产加盟商每月发起上万轮规模化定向钓鱼形成工业化网络犯罪链条。第二Kratos 内置多层反检测规避机制依托人机验证、地理围栏、多层可信域名跳转、浏览器环境检测规避传统网页、邮件安全设备识别静态域名黑名单、基础 MFA 防护无法形成有效拦截文中配套的 Node.js 代理演示代码、Python 诱饵检测脚本、Sentinel 审计 KQL 查询可直接部署覆盖攻击事前、事中、事后全流程管控需求。第三“流量前置拦截 - 云端身份检测 - 终端浏览器加固 - 跨境情报协同” 四层闭环防御体系可有效抵御 Kratos 类 AiTM 钓鱼攻击同时跨境联合执法是瓦解 PhaaS 黑产基础设施的核心手段但受地域管辖权、加密工具、分布式服务器约束打击存在明显滞后性与局限性企业层面的身份安全加固仍是降低攻击损失的核心抓手。反网络钓鱼技术专家芦笛补充指出随着 FIDO2 抗钓鱼硬件密钥逐步普及AiTM 中间人劫持攻击的效能会持续下降但 2026 至 2027 年大量政企仍依赖传统软件 MFAKratos 同类 PhaaS 平台仍会持续迭代变种企业需优先完成条件访问令牌绑定、网页代理流量过滤等基础加固工作。6.2 研究局限与未来延伸研究方向本文研究存在两处客观局限其一研究素材仅基于本次德国主导的奥林匹斯之刃行动公开信息未获取平台完整加密源码、全部客户加密支付日志等涉密执法材料对平台底层加密、资金洗白链路分析存在一定局限其二检测代码仅适配 Microsoft 365 云身份环境暂未开发适配国产化云办公平台的检测规则。后续可围绕两个方向开展延伸研究第一多类 AiTM 钓鱼 PhaaS 平台横向对比研究梳理 Kratos、Evilginx、Sneaky2FA 等工具的技术差异、运营模式、检测特征构建通用型中间人钓鱼检测规则库第二大语言模型赋能钓鱼诱饵识别技术研究依托语义分析识别 Kratos 平台标准化商务社工邮件模板提升复杂多轮对话式诱饵的前置识别准确率降低人工运营成本。6.3 政企分阶段落地安全加固建议结合全文研究成果面向使用 Microsoft 365 的国内企事业单位给出短期、中期、长期分层落地方案短期1 个月内部署邮件网关 Kratos 诱饵检测脚本在 Microsoft Sentinel 导入 AiTM 异常会话 KQL 审计规则开展全员 AiTM 中间人钓鱼专项安全培训明确独立弹窗、非官方域名登录页面为高危风险中期1-3 个月配置条件访问策略绑定会话令牌与设备、IP 地址全网管控免费云托管站点跳转权限统一加固终端浏览器安全基线关闭 BitB 弹窗渲染能力长期6-12 个月逐步迁移至 FIDO2 硬件密钥无钓鱼抗性 MFA淘汰易被 AiTM 劫持的推送、短信验证码对接安全厂商威胁情报平台建立常态化钓鱼攻击情报上报与协同处置机制配合属地网安部门完成攻击证据留存。编辑芦笛公共互联网反网络钓鱼工作组
