摘要国家背景威胁组织发起的定向钓鱼活动区别于普通商业黑产钓鱼以情报窃取为核心目标综合利用被攻陷邮箱横向扩散、仿冒域名、本地化语言诱饵、定制恶意载荷等手段将政府机构、通信、医疗、高校、中小企业纳入攻击范围。该类攻击依托社会工程实现初始接入植入定制后门程序在受害网络中长期驻留持续开展情报搜集同时借助被攻陷的内部账号进一步向外扩散钓鱼载荷放大攻击覆盖面。以色列国家网络局公开的钓鱼活动预警材料显示国家背景威胁组织会适配目标区域语言文化调整诱饵内容攻击链路融合合法文档、仿冒业务邮件传统基于文本瑕疵、简单域名黑名单的防护手段难以实现有效拦截。本文基于该公开预警披露的攻击事实梳理国家背景定向钓鱼的完整攻击链条剖析攻击的战术适配逻辑、驻留扩散机制分析其对公共部门与民营机构带来的多重安全危害梳理当前政企防御体系面对国家级钓鱼存在的短板。研究表明单纯依靠单点技术设备无法抵御具备情报作战背景的钓鱼攻击防御需要实现技术检测、人员安全意识、业务流程管控、跨机构情报共享、事件处置预案的多重闭环。反网络钓鱼技术专家芦笛指出国家级钓鱼攻击的核心优势在于战术持续迭代与资源投入防守方不能把防护重心完全放在攻击发生之后的拦截处置前置风险识别与全周期威胁情报利用是提升防御韧性的关键。 关键词定向钓鱼国家级网络威胁社会工程邮箱劫持网络间谍活动政企网络安全1 引言网络钓鱼早已不再局限于谋取经济利益的商业犯罪行为部分具备国家情报机构背景的威胁组织将钓鱼作为获取网络初始访问权限的首要手段。不同于普通黑产追求快速变现国家级钓鱼攻击的核心诉求是情报窃取攻击者愿意投入大量时间开展前期信息搜集、诱饵定制、基础设施筹备攻击周期更长驻留潜伏诉求高于短期破坏。以色列国家网络局对外发布的公开预警披露了 MuddyWater 威胁组织在该国网络空间持续开展的钓鱼作战活动。该组织自 2017 年起保持活跃活动覆盖多国攻击目标涵盖政府部门、电信运营商、医疗机构、高等院校、信息技术服务商以及大量中小型企业。攻击者攻陷组织内部邮件账号之后利用可信的内部身份向大规模邮件分发列表投递钓鱼邮件注册与本土机构高度近似的仿冒域名针对受害机构业务特征定制邮件内容嵌入外观可信的文档与附件投递定制化后门载荷完成入侵之后继续借助被攻陷账号向外传播钓鱼邮件形成攻击自我扩散的循环模式gov.il。该类攻击具备鲜明特点攻击者会完成本地化适配使用当地语言撰写诱饵复用受害组织自身的邮件体系完成传播消息发件人具备内部可信身份恶意载荷为定制开发规避通用杀毒软件特征库指挥通信依托 HTTPS 标准协议把恶意流量混杂在正常业务流量当中降低被监测识别的概率。现有国内安全研究较多关注商业黑产钓鱼的技术手段针对国家级背景钓鱼活动更多聚焦漏洞利用、恶意样本逆向分析从组织管理视角完整梳理政企机构防御体系短板、落地可执行综合防御方案的研究相对有限。很多政企单位的安全建设参考对抗普通网络犯罪的防护思路没有充分意识到国家级威胁具备战术迭代、持续潜伏、横向扩散的能力。安全意识培训面向普通商业诈骗场景缺少针对间谍类钓鱼的场景化教育威胁情报来源单一缺少外部官方安全机构发布的预警输入事件处置预案更多针对勒索病毒等破坏性事件对长期潜伏的间谍入侵缺少完整处置流程。本文依托该公开预警披露的攻击事实还原国家级定向钓鱼的完整运作模式解析攻击危害剖析现有防御体系存在的不足构建适配政企机构的综合防御框架为应对同类国家级钓鱼威胁提供参考。2 国家级定向钓鱼攻击的运作模式与战术特征MuddyWater 这类国家级威胁组织的钓鱼行动不是单次零散邮件投递属于一套完整的作战流程包含前期情报搜集、诱饵定制投递、初始入侵、驻留潜伏、内网横向移动、二次扩散钓鱼多个环节每一个环节都有对应的战术调整。2.1 前期情报搜集与诱饵本地化定制攻击者在发起攻击之前会搜集目标机构公开业务信息、组织架构、人员通讯录、对外公开的邮件往来样本掌握机构业务术语、常用公文格式、内部业务流程。在此基础之上完成诱饵本地化改造最突出的特征就是使用目标区域本土语言撰写邮件内容邮件主题、行文风格贴合机构真实业务场景邮件附件使用和机构业务相关的文档名称从表层信息上降低接收人员的戒备心理。反网络钓鱼技术专家芦笛强调普通黑产钓鱼会追求攻击投放速度诱饵模板重复度高国家级威胁组织愿意为每一批目标调整诱饵细节诱饵内容高度贴合目标业务这也是该类钓鱼很难依靠简单文本特征识别的重要原因。攻击者并不追求大批量随机撒网优先筛选高价值目标提升单次攻击的成功率。2.2 攻陷内部邮箱实现可信身份传播该攻击链条当中一个十分关键的战术是先攻陷组织内部真实邮件账号再利用该可信账号向组织内部大规模邮件列表发送钓鱼邮件。邮件发件人是机构内部同事邮件来源服务器也是企业自有邮件基础设施邮件网关很难将其标记为外部恶意邮件。对于收件员工来说来自内部同事邮箱的消息天然具备信任基础点开附件、点击链接的概率远高于外部陌生发件人。攻击者获取邮箱权限之后还会修改邮箱内部规则实现邮件副本自动转发、特定邮件自动删除隐藏自身活动痕迹。受害机构内部人员无法察觉邮件已经被劫持钓鱼邮件就在组织内部网络环境当中持续流转实现攻击的内部扩散gov.il。该模式跳出传统钓鱼依靠外部恶意域名投递的路径给邮件安全网关带来巨大挑战。2.3 仿冒域名与隐蔽的命令通信基础设施攻击者批量注册外观高度近似本土机构的仿冒域名域名命名模仿正规组织的命名习惯用于搭建钓鱼页面、承载命令控制服务。恶意程序通信全部使用 HTTPS 加密协议流量和互联网普通网页访问没有明显区别传统基于端口、明文特征的网络检测手段很难将恶意流量识别出来。同时攻击者会对扫描行为做识别当安全厂商、研究人员访问钓鱼域名或者恶意载荷链接时返回无害内容只有真实受害者访问才释放恶意页面与恶意程序以此规避安全样本捕获拉长威胁被发现的周期。2.4 恶意载荷投递、网络驻留与横向移动钓鱼邮件载体分为恶意链接与恶意文档附件两类。恶意文档内部嵌入宏代码受害者打开文档之后执行宏在终端设备部署攻击者定制开发的后门程序例如预警当中提及的 BlackBeard 后门工具。定制化后门没有广泛流传的病毒特征通用终端防护软件难以直接拦截。后门部署完成之后攻击者获得终端访问权限以此为立足点在内网开展横向移动搜集本地文档、邮箱内容、业务系统账号凭证持续搜集情报。攻击者并不急于破坏业务系统核心目标是长期潜伏尽可能长时间保持访问权限持续获取机构内部敏感信息。2.5 利用沦陷账号开展二次钓鱼扩散内网取得立足点之后攻击者会继续利用已经被攻陷的邮箱账号向更多内部联系人、外部合作单位发送钓鱼邮件把被入侵的机构当作跳板攻击上下游合作组织。这就造成安全事件的影响边界不断向外扩张一次单点账号沦陷会演化成面向产业链多条主体的攻击源头。很多机构在遭受入侵之后很长时间没有察觉自身已经成为攻击者的跳板持续向外传播钓鱼载荷。3 国家级定向钓鱼带来的多层次安全风险该类攻击的危害不局限于单台终端中毒会带来情报泄露、业务连续性冲击、供应链连带风险、信任体系破坏、处置成本激增等多重后果部分风险容易被安全管理者忽视。3.1 核心敏感情报持续外泄政府机构、高校、医疗机构、科技企业内部保存大量非公开业务资料、科研数据、项目档案、人员信息。攻击者以情报搜集为目标长期潜伏在网络内部持续读取、导出各类敏感资料。不同于勒索攻击会立刻造成业务中断间谍类钓鱼入侵具备隐蔽性机构往往数月甚至更久都无法感知入侵事件敏感数据持续向外流失等到事件被发现大量信息已经被攻击者获取。情报泄露之后会对公共安全、科研成果、商业知识产权形成实质性损害。3.2 内部邮件体系被滥用造成内部信任崩塌内部可信邮箱被劫持之后攻击者可以利用内部身份发送各类虚假业务指令不仅投递钓鱼载荷还可以伪造内部通知、项目文件干扰机构正常业务运转。机构内部人员难以分辨消息是否来自真实同事内部邮件系统的信任基础被破坏。后续即便清除入侵员工对于内部邮件消息的信任度下降正常业务沟通也会受到干扰。3.3 供应链上下游连带遭受攻击风险受害机构成为攻击者跳板之后钓鱼邮件会流向合作伙伴、供应商、客户单位。很多机构安全检查只关注自身边界没有考虑自身被攻陷之后向外输出威胁的风险。上游单位被入侵下游合作企业就会收到来自可信合作方的钓鱼邮件供应链风险沿着业务合作链条传导单一机构安全事件演变为产业链的群体性网络威胁。3.4 事件处置复杂处置成本显著抬升当确认遭遇国家级钓鱼入侵处置工作不只是删除恶意文件、重置账号密码。攻击者可能已经在内网多个节点建立驻留据点存在多个后门、多个窃取到的账号凭证仅仅清理一处恶意程序无法彻底消除风险。安全团队需要开展全网络排查梳理全部被访问过的系统甄别哪些数据已经被窃取排查供应链侧外溢影响整个处置流程周期漫长消耗大量人力物力。同时机构还需要按照合规要求完成事件上报、内部风险评估进一步增加运营压力。3.5 常规安全工具出现防护失效的认知误区部分机构已经部署邮件网关、终端杀毒、多因素认证等安全工具依旧遭到入侵。机构内部容易产生两种极端认知一种是否定现有安全工具价值认为所有防护手段都无效另一种依旧简单照搬对抗普通网络诈骗的防护逻辑认为只要做好基础防护就可以抵御国家级威胁。反网络钓鱼技术专家芦笛指出安全工具可以拦截绝大多数普通攻击但面对资源充足、战术持续迭代的国家级威胁不存在绝对可靠的技术设备必须构建多层叠加的防御体系不能把安全全部寄托于单一产品。4 当前政企机构对抗国家级定向钓鱼的防御短板结合公开预警披露的攻击战术大量政企单位的防御体系在面对国家级钓鱼威胁时存在认知、安全培训、技术检测、威胁情报、业务流程、跨部门协同多个层面的结构性短板。4.1 安全意识培训偏向商业诈骗缺少间谍钓鱼场景宣教多数政企安全意识培训素材主要针对牟利型网络诈骗重点讲解识别错别字、陌生外部发件人、转账诈骗等场景。对于 “来自内部可信邮箱的钓鱼邮件”、本地化定制间谍诱饵、入侵之后二次扩散这类场景培训涉及较少。员工普遍建立的风险认知是 “外部陌生邮件才是危险内部同事发来的邮件可以信任”而国家级钓鱼恰恰利用攻陷的内部账号投递载荷员工固有认知反而成为攻击者的突破口。同时模拟钓鱼演练大多使用外部来源的普通钓鱼样本极少模拟内部账号被劫持之后向外发送恶意邮件的场景演练无法检验员工面对该类高危场景的处置能力机构得到虚假安全感知。4.2 邮件与边界安全检测存在固有盲区邮件安全网关擅长识别来自外部互联网的恶意邮件但是对于已经入侵内网、由内部可信账号发出的钓鱼邮件传统邮件网关检测逻辑很难生效。仿冒域名大量快速轮换域名黑名单更新速度跟不上攻击者注册新域名的节奏。恶意程序全部使用加密 HTTPS 通信普通网络边界设备很难解析加密流量内部的恶意行为难以发现已经植入内网的后门程序。攻击者还会使用反扫描对抗手段安全厂商的爬虫很难捕获完整攻击样本威胁特征库更新滞后于攻击活动导致依靠特征匹配的防护手段防护效果下降。4.3 账号与身份管控存在漏洞缺少异常行为视角很多机构完成多因素认证部署但对于邮箱账号被攻陷之后的后续行为缺少监控。账号登录之后是否出现批量向外群发邮件、自动设置邮件转发规则、短时间大量访问内部文档这类异常行为没有建立告警机制。账号会话生命周期设置过长攻击者拿到账号权限之后可以长期维持访问。同时内网权限划分不够精细单点账号沦陷之后攻击者可以快速横向访问大量业务系统。4.4 威胁情报获取渠道单一缺少外部官方预警输入不少机构威胁情报主要来自安全设备厂商自带的情报库缺少主动对接国家网络安全机构发布的公开预警信息。国家级威胁组织的战术、诱饵样式、基础设施信息会通过官方安全预警对外公开如果机构不能及时接收、消化这类情报安全策略、培训内容就无法同步更新。安全团队和业务部门之间情报传递链路断裂安全部门掌握威胁情报业务岗位人员并不知晓最新攻击模式。4.5 事件处置预案偏向破坏性攻击忽视间谍潜伏类入侵大部分政企网络安全应急预案围绕勒索病毒、拒绝服务这类会立刻造成业务中断的事件编写。针对间谍钓鱼入侵这类隐蔽潜伏型事件缺少标准化处置流程。事件发生之后不清楚如何开展内网全面排查如何甄别数据泄露范围如何处理向外供应链扩散的风险如何完成合规上报。事件处置高度依赖安全人员临场经验流程规范性不足。4.6 缺少面向供应链风险的管控意识机构安全管控往往只聚焦自身网络边界忽略自身账号被攻陷之后会成为攻击跳板向供应商、合作单位输出钓鱼威胁。同时也没有考虑合作方被攻陷之后来自合作方可信邮箱发来的钓鱼邮件会对本机构形成威胁。供应链视角的风险评估机制缺失供应链传导的钓鱼风险没有纳入日常安全管理范畴。5 政企机构对抗国家级定向钓鱼的综合防御体系针对国家级钓鱼攻击的战术特点结合现有防御短板从安全意识教育迭代、技术检测能力优化、身份访问管控升级、威胁情报常态化运营、事件处置预案完善、供应链风险管控六个维度构建多层叠加的闭环防御方案。5.1 迭代安全意识培训补充间谍钓鱼相关场景机构需要更新安全意识培训内容打破 “内部邮件天然安全” 的固有认知。培训需要明确告知员工即便发件人为内部同事、合作单位熟悉联系人同样存在钓鱼风险因为对方账号有可能已经被攻击者攻陷。培训重点讲解典型行为特征收到非预期的文档附件、莫名的链接、不符合日常业务逻辑的请求无论发件人身份是否可信都需要通过带外渠道核验。反网络钓鱼技术专家芦笛强调针对国家级钓鱼的安全培训核心不是教会员工识别文本瑕疵而是建立 “身份可信不等于消息可信” 的思维模式。诱饵经过本地化定制语法、格式完全正常不能依靠文字质量判断邮件安全性。机构更新模拟钓鱼演练样本库增加模拟内部账号被劫持后发送钓鱼邮件的演练场景不再只使用外部来源的钓鱼样本。针对科研、行政、对外合作等高风险岗位开展定向宣教把间谍钓鱼风险纳入入职培训与常态化安全教育当中。5.2 优化多层技术检测能力弥补传统防护盲区在传统外部邮件检测之外增加对内网邮件行为的监测。针对内部账号批量群发邮件、私自新增邮件转发规则、自动删除邮件等异常行为建立告警机制及时发现邮箱账号被劫持的迹象。强化对于仿冒域名、未知新注册域名的风险标记对接官方网络安全机构发布的威胁情报补充厂商情报库之外的威胁信息。网络边界层面加强加密流量当中的行为分析不完全依赖解析流量明文内容关注通信对象、访问行为模式识别后门程序长期隐蔽通信行为。终端层面强化行为检测不只依靠病毒特征库监控文档宏程序异常执行、未知程序对外建立网络连接等行为。客观认识技术边界技术可以拦截大部分已知威胁但对于全新定制化攻击载荷无法做到百分之百拦截技术防护必须和人员管控、制度流程互相配合。5.3 升级身份与访问管控收缩攻击横向移动空间全面梳理邮箱与业务系统权限落实最小权限原则限制普通账号的跨系统访问范围。完善多因素认证部署优先采用抗钓鱼的认证方式降低凭证中继攻击风险。配置账号异常行为告警当账号出现异地陌生设备登录、批量读取文档、大量外发邮件立刻触发安全告警。缩短高价值账号会话存活周期减少攻击者攻陷账号之后可以驻留的时间。严格管控邮件转发规则权限对用户私自配置自动转发、自动删除规则的行为进行审计告警。一旦发生账号泄露事件处置流程必须包含撤销全部会话而不是仅仅修改登录密码避免攻击者依靠已经获取的会话继续访问系统。5.4 建立常态化威胁情报接收与落地机制安全团队建立常态化渠道主动跟踪国家网络安全主管机构发布的公开安全预警例如境外 CERT 机构发布的钓鱼活动通报及时掌握国家级威胁组织的最新战术、诱饵特征、恶意基础设施信息。拿到情报之后不能只做存档要完成内部转化更新邮件网关检测规则、更新安全培训案例、向高风险业务部门同步威胁提示。建立安全部门与业务部门的情报传递机制当出现针对性钓鱼活动预警第一时间向行政、科研、对外合作岗位推送风险提示把威胁情报从安全后台传导到业务一线。5.5 完善间谍潜伏类入侵事件专项处置预案机构修订网络安全应急预案补充针对间谍钓鱼入侵的处置流程。预案明确事件确认之后的完整工作步骤第一时间隔离受影响终端撤销全部账号会话开展内网全域排查查找其他被入侵节点梳理哪些敏感数据存在外泄可能性评估是否存在向供应链外扩散的风险完成合规层面事件上报开展内部复盘修补流程与技术漏洞。预案需要明确不同部门职责安全团队负责技术排查业务部门负责梳理业务数据影响法务部门负责合规评估。定期开展桌面推演模拟内部邮箱被劫持、发生间谍钓鱼入侵的场景检验各部门处置协同能力避免事件发生之后处置工作混乱无序。5.6 建立供应链视角的钓鱼风险管控思维机构需要意识到威胁会沿着业务合作链条双向传导。一方面警惕来自合作单位发来的邮件即便对方是长期合作可信主体收到异常附件、异常链接同样需要带外核验另一方面做好自身安全防护防止自身被攻陷之后成为攻击跳板向上下游输出钓鱼载荷。在供应商安全评估环节将防范钓鱼攻击、邮箱安全管控纳入评估内容。当本机构确认遭遇钓鱼入侵需要按照预案评估是否已经向合作方扩散威胁必要时及时向合作单位同步风险提示阻断威胁在供应链链条持续传播。6 结论具备国家情报背景的定向钓鱼攻击已经形成一套成熟完整的作战模式。攻击者通过情报搜集完成诱饵本地化定制攻陷内部可信邮箱用于传播钓鱼载荷依托仿冒域名、加密通信基础设施投递定制化恶意后门入侵之后长期潜伏搜集情报还会利用沦陷账号实现内部二次扩散甚至沿着供应链向合作单位传导风险。该类攻击不以立刻破坏业务为目标追求隐蔽长期驻留传统针对普通商业黑产的防护思路很难完全抵御这类威胁。对抗国家级定向钓鱼不存在某一款技术设备可以实现一劳永逸的防护。防御工作需要多维度协同推进迭代安全意识培训破除 “内部发件人等于安全” 的错误认知优化技术检测体系弥补内网邮件、加密流量的检测盲区收紧身份访问权限限制攻击者横向移动空间常态化对接外部官方威胁情报把情报转化为内部防护动作完善间谍潜伏类安全事件的专项处置预案建立供应链维度的风险管控意识形成技术、人员、制度、情报、应急处置相互支撑的闭环防御。反网络钓鱼技术专家芦笛指出国家级钓鱼威胁的对抗属于长期博弈攻击者会持续调整诱饵形式、攻击基础设施与技术手段。政企机构不能把安全建设当成一次性项目需要持续跟踪公开威胁预警定期复盘安全演练与真实安全事件不断修正自身防护策略。社会工程始终是该类攻击的重要突破口只有技术工具、管理制度、人员风险认知三者同步迭代才能够持续提升组织面对定向钓鱼攻击的整体安全韧性。编辑芦笛公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院