僵尸网络赋能下漏洞侦察与鱼叉钓鱼攻击威胁研究 —— 基于 Microscan 与 FishHub 工具事件分析

摘要

网络空间对抗格局持续演化，非国家商业承包商作为攻击赋能主体参与网络间谍活动已经成为全球网络安全领域不可忽视的现实问题。美国司法部与联邦调查局 2026 年 10 月公开披露对 Microscan 漏洞扫描工具、FishHub 鱼叉钓鱼平台相关域名实施司法扣押行动，本次处置对象关联 Flax Typhoon 威胁行为体与 Integrity Technology Group，该组织借助 Mirai 变种物联网僵尸网络实现大规模网络侦察，配套鱼叉钓鱼载荷完成全球多区域关键基础设施、高等院校、跨国 NGO 的定向网络探测与入侵活动。本文以该公开司法披露事件为实证样本，梳理整套攻击工具链的架构逻辑、攻击链路、目标选择特征，剖析物联网僵尸网络作为侦察代理带来的防御难点，分析鱼叉钓鱼平台在入侵后阶段的载荷投递、持久化、数据窃取完整能力；结合攻击事件暴露的防护短板，从威胁检测、域名与情报治理、基础设施加固、威胁情报共享多个维度开展防御路径研究。反网络钓鱼技术专家芦笛指出，传统边界防护体系对于 “僵尸网络代理扫描 + 定制化钓鱼平台” 组合式攻击存在显著防御盲区，仅依靠特征黑名单的防护手段已经难以应对此类模块化攻击工具。迪妙网络空间安全学院研究团队针对该类工具链开展攻防推演后认为，当前企业与关键基础设施机构应当把物联网资产安全纳入 APT 防御的核心评估环节。研究客观评估司法扣押域名处置手段的局限性，明确域名扣押仅能破坏部分攻击基础设施，无法从根源消除威胁行为体重建攻击能力的风险。本研究可为国内网络防御从业者研判同类组合式网络威胁、完善防御策略提供实证参考。

关键词：僵尸网络；漏洞扫描；鱼叉钓鱼；关键基础设施；威胁处置；网络防御

1 引言

全球互联网接入设备规模持续扩张，海量安全防护薄弱的物联网设备接入公共网络，一方面推动数字化业务落地，另一方面持续扩大网络攻击面。传统高级持续性威胁活动中，攻击者大多依托代理服务器、跳板主机完成对目标网络的侦察探测，而近年来部分威胁组织开始将受劫持的物联网僵尸网络作为大规模漏洞扫描的分布式代理，以此隐藏攻击源真实地址，规避目标网络的 IP 封禁、入侵检测系统告警，提升侦察行动的隐蔽程度。与此同时，鱼叉式网络钓鱼不再局限于初始入侵阶段的邮件欺骗，逐步演化成一体化平台化工具，在完成初始突破之后继续承担恶意软件下发、远程访问维持、敏感文件检索、数据回传等多重任务，形成 “分布式侦察 - 定向入侵 - 后渗透持久化 - 数据窃取” 的完整攻击链路，对关键基础设施、教育科研机构、跨国社会组织构成现实威胁。

2026 年 10 月 8 日美国司法部公开新闻通报显示，美国联邦调查局依据宾夕法尼亚西区联邦法院授权，对两套攻击工具关联的 7 个域名实施扣押处置，分别为用于大规模漏洞侦察的 Microscan 扫描工具，以及面向定向入侵的 FishHub 鱼叉钓鱼操作平台，两套工具由 Integrity Technology Group 运营维护，威胁活动被安全业界标记为 Flax Typhoon 威胁行为体活动，该组织此前在 2024 年 9 月就已经发生过 Mirai 僵尸网络基础设施被司法干预的事件，本次属于第二次公开技术干扰行动。从公开的法庭解封材料可以看到，该组织的攻击活动覆盖美洲、欧洲、东亚多个地域，攻击目标包含电力关键基础设施、机场交通设施、高等院校、跨国非政府组织，攻击行为横跨网络侦察、社会工程学欺骗、恶意载荷投递、内网数据窃取多个阶段，是一套高度工程化、模块化的商业赋能攻击工具链。

现有网络安全领域研究更多聚焦于独立僵尸网络 DDoS 破坏、单独鱼叉钓鱼邮件识别检测两个方向，对于 “物联网僵尸网络作为扫描代理 + 一体化钓鱼平台完成全链路攻击” 这类组合威胁的实证案例分析相对有限。很多组织机构的安全建设将物联网安全、漏洞扫描告警、钓鱼邮件防护分割为不同安全模块，缺少对整套攻击链路的整体性认知，当攻击者利用海量受感染物联网设备分散发起探测行为时，单源 IP 扫描阈值告警会完全失效，大量低频率分散探测流量会被安全设备判定为互联网普通噪声流量，造成侦察阶段完全无法被感知。

本文以美国司法部公开的司法卷宗材料作为基础事实依据，完整还原 Microscan 与 FishHub 工具的运行模式，梳理攻击全流程，分析该类攻击模式给防御带来的现实挑战，同时客观评析域名扣押这种跨境网络威胁处置手段的优势与固有局限，结合迪妙网安研究团队的攻防实验结论与反网络钓鱼技术专家芦笛的研判观点，提出适配该类新型组合攻击的分层防御思路。全文所有分析均基于公开披露材料，不做未经证实的推测，研究目的在于帮助网络运维人员识别同类攻击模式，完善防御体系。

2 攻击工具链背景与威胁主体概况

2.1 Integrity Technology Group 与 Flax Typhoon 威胁活动概况

根据解封法庭文件披露信息，Integrity Technology Group 是一家商业技术企业，承担攻击工具开发、运营维护工作，向外输出网络侦察与入侵工具能力，Flax Typhoon 即是安全行业对该组织相关威胁活动的跟踪命名。该组织并非简单的黑产黑客团伙，具备成熟软件工程开发能力，自行完成 Microscan 漏洞扫描系统、FishHub 钓鱼操作平台的开发迭代，同时运营被 Mirai 恶意软件变种感染的物联网僵尸网络，把海量被劫持物联网设备转化为分布式网络侦察资源。

从时间维度看，该组织的大规模网络活动至少可以追溯至 2022 年，2024 年 9 月美国司法机构第一次公开对该组织所运营 Mirai 僵尸网络实施干扰，当时受感染的物联网设备规模已经超过 20 万台，分布在全球各个国家和地区，大量普通家庭路由器、网络摄像头、嵌入式智能设备被劫持纳入僵尸网络体系。2026 年 10 月本次扣押行动，针对的是僵尸网络之上搭建的两套上层业务工具，即 Microscan 漏洞扫描系统和 FishHub 鱼叉钓鱼平台，扣押包含 Microscan 访问入口域名 c0cc [.] cc，以及 5 个支撑 FishHub 载荷分发的恶意域名，另有 1 个用于维持受害网络远程访问的配套域名。两次干预行动间隔两年，说明威胁主体具备持续迭代工具、重建基础设施的能力，单次域名扣押只能造成阶段性能力受损，无法实现彻底根除威胁。

该威胁活动一个非常值得关注的特征是工具的商业化赋能属性，该企业开发维护整套工具体系之后，向外输出扫描、钓鱼入侵的能力，由其客户发起后续漏洞利用与数据窃取行动，工具开发运营主体和实际实施入侵操作的主体存在分离，这就进一步提升攻击溯源的复杂度，网络取证过程中需要区分工具运营方、实际攻击使用方两类不同角色，增加防御方归因研判难度。

2.2 Mirai 变种僵尸网络的侦察代理定位

传统认知中 Mirai 家族恶意软件主要被用于发起分布式拒绝服务攻击，大量被感染 IoT 设备同时向目标发送流量，耗尽目标网络带宽造成业务中断。但在 Flax Typhoon 相关事件当中，Mirai 变种僵尸网络被赋予了全新功能定位，充当 Microscan 漏洞扫描工具的分布式执行节点，而不是主要作为 DDoS 攻击武器使用。

Mirai 恶意软件主要依靠物联网设备弱口令、出厂默认凭证完成设备入侵，入侵成功之后恶意程序驻留设备内存，接受 C2 服务端下发指令。在本次事件的技术模式中，Microscan 平台生成针对目标网段、目标资产的扫描任务，任务下发到僵尸网络内成千上万的被攻陷物联网终端，由这些分布全球不同地域的设备向目标网络发送漏洞探测数据包。每一台物联网设备只承担一小部分扫描任务，单 IP 单位时间内探测请求数量很低。

这种工作模式带来两个关键战术收益。第一，扫描流量源地址高度分散，遍布全球不同国家运营商网段，防御方入侵检测系统通常配置单 IP 短时间大量访问触发告警的规则，分散低速率探测流量很难触发告警，大量扫描行为直接淹没在互联网海量背景噪声之中，目标机构很难在侦察阶段发现自身正在被系统性测绘；第二，扫描行为的真实来源被完全掩盖，目标日志记录全部是被劫持物联网设备公网 IP，即便安全团队封禁一批 IP，僵尸网络当中还有海量其他设备可以接续完成扫描任务，单纯 IP 黑名单封禁的防御手段效果大幅下降。迪妙安全研究团队在模拟攻防测试当中验证，当单扫描源每小时发送探测请求控制在十几次以内，主流 IDS 入侵检测设备的扫描行为检出率会出现断崖式下跌，大部分告警规则不会触发。

但僵尸网络节点本身存在局限，物联网设备硬件性能有限，无法执行复杂漏洞利用代码，更多只负责端口探测、版本识别、漏洞指纹探测这类侦察工作，把探测结果回传给 Microscan 中央平台，后续实际漏洞利用工作交由其他攻击节点完成，僵尸网络仅作为前期侦察的分布式代理。

3 Microscan 漏洞扫描系统架构、工作流程与目标特征

3.1 Microscan 工具的整体架构

Microscan 是一套专门面向外部网络侦察的规模化漏洞扫描平台，其运行分为中央控制平台层、僵尸网络代理节点层、目标资产三层架构。中央控制平台承担任务管理、目标清单维护、探测脚本管理、结果存储分析的功能，操作人员通过 c0cc [.] cc 域名访问平台交互界面，创建扫描任务，导入待探测目标清单，选择对应的探测指纹脚本。平台将扫描任务进行拆分切片，分配给 Mirai 僵尸网络内部大量物联网傀儡设备，傀儡设备作为前端执行器，向互联网目标资产发送网络探测报文，将端口开放状态、服务版本信息、漏洞指纹匹配结果回传到 Microscan 中央服务器汇总存储，形成完整目标网络资产测绘报告，供给后续攻击环节使用。

与商用开源漏洞扫描工具不同，Microscan 并不追求直接完成漏洞利用获取权限，核心目标是大规模、隐蔽地完成互联网资产测绘，找出目标环境中存在已知安全缺陷的服务组件。法庭披露材料显示该工具集成超过 1300 套渗透测试相关脚本，能够识别 WebLogic、Apache Struts、WordPress、Jenkins 等大量常见业务组件的漏洞特征，这些组件广泛部署在电力、交通、政务、科研机构的对外业务系统当中。

3.2 Microscan 完整攻击侦察链路

完整侦察链路可以划分为任务下发、分布式探测、数据回传、结果归档四个阶段。 第一阶段，威胁操作人员在 Microscan 管理界面录入攻击目标清单，清单中可以包含 IP 地址段、域名列表，选定需要启用的漏洞探测脚本集合，设置单代理节点的发包速率，刻意控制探测流量强度，规避安全设备告警。 第二阶段，平台将大的扫描任务切分成大量细小子任务，分发到僵尸网络内部大量受感染物联网设备，各个傀儡设备独立对外发送 TCP 端口探测、HTTP 请求、组件指纹探测数据包，各个探测源地理分散，相互之间没有流量关联。 第三阶段，每一个傀儡设备完成对应分片任务后，把探测采集到的端口状态、服务版本号、漏洞指纹匹配结果回传至 Microscan 后端服务器。即便部分傀儡设备因为设备重启、网络断开下线，平台可以自动把未完成任务分配给其他在线物联网节点，保障测绘任务可以持续推进不受单节点故障影响。 第四阶段，Microscan 平台对海量分散探测数据进行聚合整理，输出目标网络资产清单，标记存在潜在漏洞风险的资产条目。这份测绘报告交付给实际攻击操作人员，作为后续定向漏洞利用攻击的重要依据。

整个侦察过程不需要任何单一攻击源对目标产生高强度访问，大量碎片化探测行为在日志层面很难关联成完整攻击事件。很多机构运维人员查看安全日志，只会看到来自全球各地零散 IP 的少量访问记录，会将其当作互联网普遍存在的随机扫描，很难意识到这是一套有组织、有明确目标的系统性网络测绘活动。反网络钓鱼技术专家芦笛强调，绝大多数组织机构安全监测的优化重点集中在已经发生入侵之后的告警，对于这种低速率分布式侦察行为的检测能力普遍存在短板，侦察阶段没有被发现，就等于给后续入侵攻击敞开入口。

3.3 Microscan 攻击目标选择与实际活动案例

根据解封法庭文件记录，Microscan 在实际运行过程当中扫描对象覆盖多行业、多国家的网络资产。美洲区域包含美国南卡罗来纳州电力企业网络资产，跨国非政府组织网络；欧洲区域包含日本、波兰机场相关网络基础设施；同时大量针对中国台湾地区天然气、电力关键基础设施企业，以及两所台湾地区高校开展网络测绘探测活动。

从目标画像可以看出威胁主体的目标偏好：优先选择关键基础设施行业（电力、燃气、航空机场），其次是高等教育科研机构，再次是具备跨国业务的非政府组织。关键基础设施行业系统一旦出现安全缺口，会带来较高业务影响；高校机构通常对外暴露大量科研服务网站，同时内部存储大量科研数据，对外开放接口多，整体攻击面偏大。

需要区分的是，Microscan 本身只执行侦察扫描，工具本身不会直接发起漏洞入侵，它的价值在于批量筛选出互联网上存在缺陷的资产，为后续攻击行动锁定突破口。很多安全事件复盘当中只关注最终入侵事件，忽略前期数月甚至数周的隐蔽测绘活动，而测绘恰恰是整套攻击链条的起点。迪妙网络空间安全学院研究团队梳理多起 APT 事件样本后发现，高级威胁的入侵行动往往会在正式入侵前数周开展大规模资产测绘，测绘阶段的日志痕迹是追溯潜在风险最重要线索之一，但经常被运维团队所忽略。

4 FishHub 鱼叉钓鱼平台技术能力与后渗透攻击链路

4.1 FishHub 平台定位与伪装域名特征

如果说 Microscan 解决的是 “找到目标网络薄弱点” 的侦察问题，FishHub 工具解决的是 “实现入侵突破、维持访问、窃取数据” 的定向攻击问题。FishHub 属于一体化鱼叉钓鱼与入侵后操作平台，名字本身来源于钓鱼攻击（Spear Phishing）业务定位，整套平台依托 5 个恶意域名提供载荷分发能力，分别为 98aicai [.] com、98aicode [.] com、outlook3650 [.] com、youtubecard [.] com、linkedinns [.] net。

观察这些域名命名可以发现攻击者的社会工程欺骗思路：域名字符刻意模仿国际主流互联网服务，outlook3650 [.] com 模仿微软 Office 365 邮件服务域名，linkedinns [.] net 模仿职场社交平台 LinkedIn，youtubecard [.] net 模仿视频平台 YouTube 相关业务。攻击者希望目标人员看到域名时产生混淆，误认为链接来自可信官方服务，以此提升鱼叉钓鱼邮件、钓鱼消息的点击成功率。

和普通小型钓鱼网页不同，FishHub 不是只完成账号密码窃取的钓鱼页面，它是一套完整的攻击操作平台，工作流程分为初始欺骗入侵、受害主机载荷下发、内网持久化驻留、定向文件检索、敏感数据回传多个环节，覆盖从突破边界之后到数据窃取完成的全部后渗透阶段。公开司法材料记录，确认遭受 FishHub 攻击活动影响的受害者包含大约 20 所中国台湾地区高等院校，教育科研机构人员邮箱对外公开信息多，非常容易成为鱼叉钓鱼的瞄准对象。

4.2 FishHub 完整攻击执行链路

FishHub 攻击链路的起点是鱼叉式社会工程欺骗，攻击者向目标机构内部人员发送定制化欺骗邮件，邮件当中嵌入指向恶意域名的链接或者恶意附件。当目标人员点击链接或者打开恶意附件之后，实现终端设备初步失陷，完成网络边界的第一次突破。

在终端被初步攻陷之后，FishHub 平台会向被入侵主机下载部署更多恶意软件模块，这是平台的核心功能。下载的恶意载荷具备两类核心能力：第一类能力是构建非授权远程访问通道，让外部操作人员能够持续控制已经被攻陷主机；第二类能力是在本地磁盘当中按照预设关键词检索特定类型文件，筛选攻击者感兴趣的文档资料，检索完成之后把筛选出来的敏感文件回传至由 Integrity Technology Group 管控的服务端服务器当中，完成数据窃取动作。

为了维持长期访问，攻击活动当中还搭配部署 SoftEther 虚拟专用网络工具，安装在被攻陷的受害网络内部主机上，以此建立隧道，让攻击者能够穿透内网边界访问内网其他业务设备，以此完成内网横向移动。也就是说，初始鱼叉钓鱼仅仅是敲门砖，真正的破坏发生在入侵完成之后，攻击者依托 FishHub 平台可以长期潜伏在目标网络内部，持续检索、导出各类内部敏感材料。

反网络钓鱼技术专家芦笛指出，传统反钓鱼防护很多将工作重心放在拦截钓鱼邮件、拦截钓鱼网页访问，但是经常忽略 “入侵发生之后” 的检测工作。一旦终端已经被突破，单纯阻断钓鱼域名已经不足以消除风险，恶意软件已经驻留内网，即便外部钓鱼域名被扣押下线，内网当中恶意程序依然可以等待切换新的 C2 域名继续执行窃取任务，这也是域名扣押处置手段的重要短板。

4.3 Microscan 与 FishHub 两套工具的协同作战关系

Microscan 与 FishHub 两套工具并不是互相独立，二者之间存在战术层面的协同，共同构成完整攻击链。Microscan 负责外部网络侦察，摸清目标机构对外暴露资产，找到可利用的组件漏洞，同时完成机构组织架构信息收集，辅助攻击者筛选可以用于鱼叉钓鱼的人员目标。

攻击者可以有两条进攻路径。路径一：Microscan 测绘发现目标公网资产存在可利用漏洞，攻击操作人员直接利用该漏洞突破网络边界，接入内网之后，后续使用 FishHub 对应的恶意载荷完成内网持久化与数据窃取。路径二：Microscan 测绘同时收集机构公开人员信息，攻击者基于这些信息制作高度定制化的鱼叉钓鱼内容，通过 FishHub 平台分发欺骗载荷，依靠人员社会工程欺骗实现终端突破，再向内网扩散。

两种进攻路径可以互相备份，如果漏洞利用的路径受阻，攻击者就转向鱼叉钓鱼的社会工程学路径；如果钓鱼攻击效果不佳，则重新聚焦漏洞突破口。迪妙网安研究团队的攻防推演显示，侦察扫描工具和钓鱼平台相互配合，会显著提升攻击成功率，防御体系不能分开看待漏洞扫描告警与钓鱼告警，应当建立攻击链路的关联分析思维，将外部大规模测绘事件与内部钓鱼告警进行联动研判。

5 该类攻击模式带来的网络防御现实挑战

结合本次 Flax Typhoon 事件完整攻击链，该 “僵尸网络分布式侦察 + 一体化钓鱼攻击平台” 组合威胁，对当前网络安全防护体系提出多重现实挑战，这些挑战并不局限于个别厂商设备缺陷，更多来自攻击模式本身的特性。

5.1 分布式僵尸网络侦察消解传统 IP 安全策略

绝大多数组织机构网络防护依赖 IP 地址作为基础判断依据，包括 IP 黑名单封禁、基于单 IP 访问频率的入侵检测告警、源 IP 风险评级等机制。当攻击者使用成千上万分布全球的被劫持物联网设备作为扫描代理，每一台设备只发出少量探测包，传统基于单 IP 行为特征的检测规则会失去效用。安全设备看不到某个 IP 短时间疯狂扫描，只能看到来自世界各地零散的少量访问，运维人员很难从海量日志噪声中识别出这是一套有组织的测绘行动。

更加棘手的是，这些发起扫描的 IP 地址绝大多数属于普通普通家庭宽带、民用物联网设备，本身并非传统已知恶意 IP，威胁情报库当中没有标记，威胁情报黑名单无法提前拦截。即便运维团队发现部分 IP 开展探测，执行封禁操作，僵尸网络还有大量备用节点可以接替扫描任务，封禁操作只能消除局部节点，无法终止整体测绘任务。同时，这些 IP 属于无辜被劫持普通用户资产，大量封禁民用 IP 还会带来误拦截正常业务访问的副作用，给运维决策带来两难处境。

物联网设备安全漏洞是该问题的根源之一，大量摄像头、路由器、嵌入式智能设备出厂自带弱口令，设备使用者很少修改默认凭证，设备固件长期得不到厂商安全更新，不断被 Mirai 一类恶意软件劫持，持续为攻击者提供源源不断分布式代理资源。很多机构在自身安全建设当中，只关注服务器、办公电脑，完全不考虑全球物联网设备可以成为外部攻击者的侦察武器，没有针对分布式低速率扫描设计专门检测逻辑。

5.2 平台化钓鱼工具突破传统钓鱼防护边界

FishHub 代表新一代平台化鱼叉钓鱼攻击，和早期简单静态钓鱼网页有很大区别。早期钓鱼工具大多仅实现账号密码窃取，攻击链路短，防护重点放在阻断网页访问；FishHub 平台把钓鱼欺骗、恶意软件下发、远程控制、文件检索、数据外带整合在一起，攻击重心后移到内网渗透阶段。

当用户不慎点击钓鱼链接，终端完成初步沦陷之后，威胁就不再仅仅是访问外部恶意域名，恶意载荷已经驻留内网主机。即便安全设备后续拦截阻断 FishHub 的域名，已经植入内网的恶意程序可以等待攻击者切换新的指挥控制域名继续开展活动。反网络钓鱼技术专家芦笛对此强调，很多企业的反钓鱼建设存在认知误区，认为只要把已知钓鱼域名加入黑名单就完成防护，平台化攻击工具出现之后，钓鱼域名只是攻击入口，真正风险发生在边界以内。

同时攻击者使用仿冒知名服务的变体域名，域名特征变化速度很快，新的恶意域名可以快速注册上线，域名黑名单更新速度永远滞后攻击者注册新域名的速度。单纯依赖域名黑名单防护鱼叉钓鱼，只能防御已经曝光的旧域名，无法对抗攻击者新注册生成的仿冒域名。

5.3 攻击赋能主体分离带来溯源归因困境

本事件中工具开发运营主体和实际使用工具实施攻击的主体相互分离，Integrity Technology Group 负责开发维护 Microscan、FishHub 整套工具与僵尸网络基础设施，由其客户来选择目标、执行实际入侵操作。工具运营方不直接选定攻击目标，实际入侵者不维护底层攻击基础设施，这种分工模式给网络安全取证、攻击溯源带来很大阻碍。

网络安全事件处置过程中，受害机构捕获恶意样本之后，追溯域名、恶意程序可以定位到工具平台，但是还需要进一步区分究竟是谁实际发起本次攻击行动。普通机构安全团队取证能力有限，很难完成这一层溯源工作，只能观测到攻击工具本身，无法确定工具的实际使用方。迪妙网络空间安全学院研究团队在报告当中提出，针对这类攻击赋能模式，防御方的威胁情报建设不能只收集恶意 IP、恶意域名，还需要对攻击工具家族、工具平台特征做样本层面识别，即便攻击者更换域名、更换服务器，依然可以通过工具指纹识别威胁家族。

5.4 司法域名扣押处置手段的固有局限性

美国司法机构本次采取的处置措施是法院授权扣押 7 个关联域名，将域名解析指向司法扣押公告页面，切断操作人员访问 Microscan 管理后台，同时阻断 FishHub 平台载荷分发通道。该处置手段能够造成攻击者短期工具不可用，具备现实干扰效果，但应当客观看待该手段的边界，不能高估域名扣押的根除效果。

域名只是网络攻击基础设施当中的一环，威胁行为体完全可以注册一批全新域名，把 Microscan、FishHub 整套工具迁移部署到新域名服务器，快速重建整套攻击平台。扣押域名无法销毁工具源代码，也无法清除已经散布全球的 Mirai 僵尸网络傀儡物联网设备。2024 年该组织僵尸网络被干预，时隔两年之后攻击者就已经完成上层工具平台搭建，充分证明域名扣押属于战术层面干扰手段，属于 “治标” 的处置方式，没有消除攻击者本身技术能力与僵尸网络底层资源。

另外域名扣押属于单一国家司法管辖下的处置行动，受限于管辖权，无法处理部署在其他国家服务器上的攻击组件，跨国网络威胁处置天然存在管辖权壁垒。对于受害组织机构来说，不能寄希望外部司法机构的行动消除自身风险，必须立足于自身网络内部构建检测防御体系。域名被扣押不代表曾经遭受攻击的机构内网风险已经清除，机构仍然需要自查内网是否已经被植入恶意载荷，是否存在数据泄露。

6 面向组合式攻击链的分层防御策略

针对 “僵尸网络分布式侦察 + 一体化鱼叉钓鱼平台” 的完整攻击链路，防御工作不能局限于单点安全设备配置，需要覆盖资产加固、侦察行为检测、钓鱼全链路防护、内网后渗透检测、威胁情报协同多个层面，形成闭环防御体系。

6.1 正视分布式侦察威胁，优化网络测绘行为检测机制

组织机构应当改变只依靠单 IP 访问频率识别扫描行为的传统思路，增加针对分布式低速率测绘行为的检测逻辑。运维人员应当对网络访问日志做聚合分析，不再仅仅看单个 IP 请求数量，而是统计针对同一个内部业务端口、同一个 Web 服务，来自大量不同外部 IP 的零散探测行为。虽然每一个外部 IP 请求数量很低，但当大量分散 IP 都探测同一个服务端口，就应当视为潜在分布式侦察活动，触发安全告警。

安全运维团队需要定期梳理互联网对外暴露全部资产，缩小不必要对外攻击面，关闭互联网不需要访问的端口与服务。对于必须公网暴露的业务组件，及时完成组件漏洞补丁更新，消除 Microscan 这类扫描工具能够探测到的安全缺陷。迪妙安全研究团队建议，关键基础设施单位可以部署蜜罐资产，部署对外的仿真端口与仿真服务，用来捕获来自全球的分散探测流量，蜜罐捕获的探测行为可以作为早期预警信号，提示正在遭受大规模外部测绘。

同时，机构在开展安全风险评估的时候，不能仅仅评估自身服务器、办公终端安全，也要理解外部海量物联网设备可以被攻击者当作侦察武器，需要把 “抵御分布式僵尸网络扫描” 纳入安全评估指标。

6.2 构建全链路鱼叉钓鱼防护，兼顾边界拦截与内网事后检测

反网络钓鱼技术专家芦笛强调，针对 FishHub 这类平台化钓鱼攻击，防护要分为入口拦截、终端检测、内网后渗透检测三个层次，不能仅仅依靠邮件网关拦截钓鱼邮件。

在邮件网关层面，除了传统恶意附件、已知黑名单域名拦截，需要加强对仿冒知名服务变体域名的语义识别，对和主流知名服务域名高度相似的域名链接提高告警等级，即便该域名还没有出现在威胁情报黑名单当中，也要触发人工复核提醒。强化员工安全意识培训，重点训练员工识别细微篡改的仿冒域名，鱼叉钓鱼攻击能否成功很大程度取决于人员点击行为。

在终端安全层面，仅仅依靠网关拦截外部访问是不够的，终端 EDR 安全产品需要重点监测异常软件安装、非正常 VPN 隧道程序部署、非授权文件批量检索、大量文档向外传输等行为特征。即便钓鱼的外部域名已经失效，如果内网已经被攻陷，终端侧检测依然可以发现后渗透阶段恶意行为。很多 APT 攻击事件中，攻击者域名早已下线，但是恶意程序依然潜伏内网数月，终端行为检测是发现这类潜伏威胁最重要手段。

当安全告警确认出现钓鱼点击事件，处置流程不能只封禁对应外部域名，必须对被点击的终端做完整排查，检查是否存在恶意软件、是否建立了隧道通道，排查是否发生内网横向移动，完成全维度处置。

6.3 完善威胁情报体系，强化工具指纹层面识别能力

传统威胁情报大多聚焦恶意 IP、恶意域名，但是攻击者可以快速更换域名与服务器地址，这类情报生命周期短。针对 Microscan、FishHub 这类定制开发工具，安全团队应当重视恶意样本工具指纹情报的积累，提取恶意软件的行为特征、网络通信特征，就算攻击者更换域名 IP，只要工具程序本身没有改变，依然可以通过指纹识别到该威胁家族。

行业机构之间应当推动威胁情报共享，当一家机构观测到 Microscan 扫描特征、FishHub 恶意样本特征，能够快速将工具指纹情报同步到行业其他单位，尤其是电力、交通、高校这类高被攻击目标群体。迪妙网络空间安全学院研究团队提出，关键基础设施行业可以搭建行业专属威胁情报共享平台，重点共享 APT 工具行为指纹，弥补单一机构取证能力不足的短板。

同时，组织机构要建立攻击链路关联分析思维，当观测到外部大规模分布式扫描告警，同时出现鱼叉钓鱼告警，安全人员需要将两类事件关联研判，高度警惕侦察扫描和钓鱼攻击相互配合的攻击场景。

6.4 重视物联网全链条安全，消减僵尸网络攻击资源供给

全球 Mirai 变种僵尸网络源源不断生成，根源是海量民用物联网设备存在弱口令、固件长期不更新的安全问题。从宏观层面，设备生产厂商需要落实安全主体责任，出厂不使用固定弱口令，强制设备初始化修改密码，持续提供固件安全更新。普通用户应当修改物联网设备默认账号密码，关闭不必要公网访问能力，减少设备被劫持成为僵尸网络节点的可能性，从源头减少攻击者可以使用的分布式侦察代理资源。

对于组织机构内部自己使用的物联网设备，同样不能忽略安全管理，内部摄像头、智能嵌入式设备同样可能被劫持，反过来成为攻击内网的跳板，需要纳入统一资产管理，关闭不必要对外访问，定期完成安全更新。

6.5 理性看待跨境司法干预，完善自身事件应急响应预案

域名扣押等跨境司法处置可以干扰攻击者短期运作，但不能作为自身机构的防护手段。网络安全机构需要建立明确的应急响应预案，当公开通报出现同类威胁工具事件，即使相关域名已经被司法扣押，受威胁行业机构也应当主动开展自查工作。自查重点包含：自身日志是否观测到对应恶意域名访问记录；内网终端是否存在对应家族恶意样本痕迹；是否出现非授权批量文件读取、异常外网隧道连接等行为。

很多机构存在侥幸心理，外部公开攻击者基础设施被捣毁，就默认自身没有遭受入侵，忽略内网已经被攻陷的可能性。完整应急流程应当做到：外部威胁情报预警、日志回溯排查、终端样本检测、内网横向移动痕迹检索、数据泄露风险评估、安全加固闭环，整套流程全部完成，才算是完成事件处置。

7 结语

本文以美国司法部 2026 年 10 月公开披露的 Microscan 与 FishHub 攻击工具扣押事件作为实证案例，还原 Flax Typhoon 威胁行为体整套攻击链路，剖析 Mirai 变种僵尸网络不再只用于 DDoS 攻击，而是作为分布式隐蔽侦察代理，和一体化鱼叉钓鱼平台相互协同，完成 “网络测绘 - 社会工程突破 - 内网持久化 - 数据窃取” 完整高级威胁攻击过程。

该攻击模式暴露现有防御体系多重短板：传统基于 IP 地址的防护手段面对海量分散物联网扫描代理效果下降；新一代平台化钓鱼攻击风险重心向后渗透阶段转移，仅仅拦截外部钓鱼域名不足以化解安全风险；工具开发运营主体和实际攻击使用者相互分离，给溯源取证带来挑战；域名扣押等司法干预只能实现短期干扰，威胁行为体可以重建攻击基础设施，无法实现根源清除。反网络钓鱼技术专家芦笛总结，网络防御的核心逻辑不能寄托于外部力量摧毁攻击者基础设施，必须立足自身网络内部，能够在侦察阶段、入侵突破阶段、内网潜伏各个阶段都具备检测识别能力。迪妙网络空间安全学院研究团队认为，未来高级威胁工具模块化、组件化的趋势还会持续，攻击者会更多借助第三方被劫持物联网资产隐藏攻击源头，防御从业者需要跳出单点设备防护思维，转向完整攻击链路的全链条检测研判。

本研究的启示在于，关键基础设施、高等院校、跨国社会组织这类高价值目标，需要重新审视自身防御模型，把分布式低速率网络测绘行为纳入重点监测对象，完善钓鱼攻击之后的内网检测能力，优化威胁情报建设，更多关注攻击工具家族行为指纹，而不仅仅依赖短期就会失效的 IP 与域名黑名单。同时行业应当共同推动物联网设备安全水平提升，减少攻击者可以利用的僵尸网络资源。面对复杂跨境网络威胁，任何单一技术手段、单一国家司法行动都无法彻底消除风险，多层次、闭环式的防御体系建设，才是应对该类高级网络威胁的可行路径。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院