這篇文章將為大家分析一場由 Lexfo 安全公司揭露的釣魚攻擊案例。這次事件非常有趣，因為攻擊者因為一個低級的設定錯誤，導致其整個攻擊工具鏈被曝光，讓我們能從內部視角看到現代釣魚攻擊是如何繞過多因素驗證（MFA）的。
對於 Junior 工程師來說，最重要的一點是：現在的釣魚不再只是「偽造一個長得像的登入頁面」，而是演變成一種「中間人代理」或「利用合法認證流程」的技術攻擊。
伺服器設定錯誤導致的全面崩潰
這次事件的起因非常諷刺。一名攻擊者在運行 Microsoft 365 釣魚操作時，在伺服器上執行了 python3 -m http.server 8080 這個指令。這個指令會啟動一個簡單的 Python 網頁伺服器，且預設會開啟目錄列表（Directory Listing）功能。
目錄列表是指當使用者訪問一個沒有 index.html 的資料夾時，伺服器會直接把該路徑下所有的檔案清單列出來。這對攻擊者來說簡直是自爆，因為研究人員直接透過瀏覽器就看到了所有機密檔案，包括釣魚設定檔、盜取的帳密日誌、遠端管理工具（RMM）安裝檔，甚至連攻擊者的 Telegram 會話檔案都被拿走了。
兩種繞過 MFA 的核心技術
這次事件涉及三個不同的攻擊者，他們使用了 Evilginx 的變體。Evilginx 是一種 Adversary-in-the-Middle (AiTM) 代理工具，它不像傳統釣魚頁面只是偷密碼，而是將受害者與真正的 Microsoft 登入頁面連接起來，像個透明代理一樣。
第一種技術：反向代理 (Reverse Proxy)
這是典型的 Evilginx 運作方式。攻擊者建立一個偽裝域名，受害者在上面輸入帳密與 MFA 驗證碼。Evilginx 會將這些資訊即時轉發給 Microsoft，同時攔截 Microsoft 回傳的 Session Cookie（會話 Cookie）。
一旦拿到這個 Session Cookie，攻擊者就可以直接將其植入自己的瀏覽器，完全跳過登入過程，直接進入受害者的信箱。即使受害者之後更改密碼，只要這個 Cookie 尚未過期且沒有觸發特定的安全性原則（如 CAE），攻擊者依然能維持存取權限。
第二種技術：設備代碼流程 (Device Code Flow) 濫用
這是更危險的手段，因為它完全不涉及密碼攔截。設備代碼流程本來是用於那些無法輸入複雜密碼的設備（例如智慧電視或命令列工具）。流程是：設備顯示一個代碼，請使用者到 microsoft.com/devicelogin 輸入代碼並登入。
攻擊者將此流程偽裝成 Authenticator 驗證頁面，誘導受害者前往真正的微軟官方網站輸入代碼。由於受害者是在真正的微軟網域上完成登入與 MFA 驗證，因此 FIDO2 或 Passkey 等強大的硬體金鑰也無法阻止此攻擊，因為對瀏覽器來說，這確實是在與微軟官方溝通。一旦受害者完成驗證，攻擊者的後端就會立即收到授權 Token 並接管帳號。
AI 在現代攻擊中的角色
值得關注的是，這三組攻擊者的工具鏈中都發現了 AI 輔助開發的痕跡。他們並非從零開始開發框架，而是從 GitHub 克隆開源工具，然後利用 Claude 或其他 AI 模型來撰寫「膠水代碼」（Glue Code），例如自動化腳本、自定義的釣魚模組（Phishlets）或用來規避偵測的 URL 重寫引擎。這意味著攻擊的門檻已大幅降低，即使不是頂尖開發者，也能快速部署複雜的攻擊路徑。
工程實務上的防禦建議
面對這兩種截然不同的攻擊路徑，單一的防禦手段是不夠的。
針對反向代理攻擊： 應部署 Phishing-resistant MFA（抗釣魚 MFA），例如 FIDO2 或 Passkey。這類技術會將認證綁定在特定的域名上，如果域名不符（例如是攻擊者的偽裝網域），認證會直接失敗。
針對設備代碼流程濫用： 唯一的有效手段是透過 Conditional Access（條件式存取）原則。除非公司內部確實有使用 Teams Room 或特定 CLI 工具的需求，否則應直接禁用 Device Code Flow。
此外，建議開啟 Continuous Access Evaluation (CAE)，這能讓系統在偵測到異常（如 IP 突然從北美跳到東歐）時，立即強制重新驗證，而不是等待 Session Cookie 自然過期。
監控建議： 在 Entra ID (原 Azure AD) 的登入日誌中，密切關注來自特定 Client ID (d3590ed6-52b3-4102-aeff-aad2292ab01c) 的刷新令牌請求，特別是當這些請求來自不尋常的來源 IP 時。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。