Kali365 是一種新型的釣魚工具包，其核心威脅在於它並非單純地偽造登入頁面來盜取密碼，而是利用了 Microsoft 合法的設備代碼驗證流程（Device Code Flow），將受害者的信任轉化為攻擊者的權限。這種手法讓傳統的防護機制難以察覺，因為使用者最終是在真正的微軟官方頁面上完成驗證。
理解設備代碼驗證機制
在進入攻擊流程前，我們需要先理解什麼是設備代碼驗證（Device Code Flow）。這原本是為那些無法直接輸入使用者名稱和密碼的設備（例如智慧電視、IoT 設備或某些命令列工具）設計的 OAuth 2.0 認證流程。
正常流程是：設備顯示一組短代碼，要求使用者在另一台有瀏覽器的設備上訪問特定網址並輸入該代碼，以證明該設備的所有權。一旦使用者同意，微軟會向該設備發放 Access Token（存取令牌）和 Refresh Token（刷新令牌），讓設備在不需要密碼的情況下獲取雲端資源。
Kali365 的攻擊路徑
Kali365 將這個合法機制武器化，將攻擊過程分為三個階段。
第一階段：誘餌吸引 攻擊者會發送偽裝成 SharePoint、OneDrive 或 DocuSign 等可信商務服務的釣魚頁面。對於工程師或員工來說，這看起來就像是一個普通的共享文件通知。
第二階段：利用合法驗證頁面 當受害者點擊連結後，頁面會將其引導至微軟真正的設備登入入口（microsoft.com/devicelogin）。關鍵在於，Kali365 會提供一組由攻擊者控制的設備代碼，要求受害者輸入。由於使用者是在真正的微軟官方網頁上輸入代碼並登入，瀏覽器的網址列顯示正確，且 MFA（多因素驗證）也會正常觸發，這讓受害者完全放下戒心。
第三階段：權限竊取與維持 一旦受害者在官方頁面按下確認，微軟會將認證令牌發放給請求代碼的設備，也就是攻擊者的伺服器。攻擊者隨即獲得了 Access Token 和 Refresh Token。這意味著即便使用者之後更改了密碼，只要 Refresh Token 尚未失效，攻擊者就能持續訪問該帳號的電子郵件、內部文件以及其他 Microsoft 365 雲端資源。
對企業造成的實務影響
這種攻擊比傳統釣魚更危險，因為它繞過了許多基於網址檢查的防禦手段。一旦帳號被攻破，會產生以下連鎖反應。
財務欺詐與商務電子郵件詐騙（BEC） 攻擊者可以直接進入郵件系統，偽造發票或更改付款帳號，由於是從合法帳號發出，內部審核極難發現。
敏感數據外洩 企業內部的 SharePoint 文件、客戶資料和機密合約將直接暴露在攻擊者面前。
偵測難度增加 因為認證行為發生在微軟官方平台，SOC（安全維運中心）看到的日誌可能是正常的登入紀錄，缺乏明顯的惡意特徵，導致事件響應時間（MTTR）被拉長。
防禦策略與建議
針對 Kali365 這類攻擊，單靠郵件過濾器是不夠的，建議採取以下三項優先對策。
強化威脅情資的即時同步 攻擊者會頻繁更換域名和基礎設施。企業應將最新的 IOCs（入侵指標，如惡意 URL、IP）整合進 SIEM（安全資訊與事件管理）或防火牆中，以便快速進行回溯搜索，確認環境中是否已有受害帳號。
提升一線分析師的識別能力 一線分析師不能只看登入日誌，而應關注登入前的行為路徑。例如，使用者是否從一個可疑的跳轉域名進入微軟登入頁面？這種行為模式（TTPs）比單一的 IP 黑名單更有效。
主動監控令牌濫用 監控異常的設備登入請求，特別是來自不尋常地理位置或不符合公司設備規範的設備代碼請求。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。