killvxk 网络钓鱼事件响应（Phishing Incident Response）
适用场景
- 用户通过钓鱼举报按钮或滥用邮箱举报收到可疑邮件
- 邮件网关检测到绕过初始过滤的恶意邮件
- 威胁情报显示针对该组织的活跃钓鱼活动
- 用户确认点击了可疑邮件中的链接或打开了附件
- 凭据已在疑似钓鱼页面上输入
不适用于涉及内部账号受攻陷的商业邮件欺诈（BEC）；此类情况请使用专注于账号接管调查的 BEC 响应流程。
前置条件
- 具有邮件追踪和隔离能力的邮件安全网关（Microsoft Defender for Office 365、Proofpoint、Mimecast）
- Microsoft 365 管理员访问权限或 Google Workspace 管理员权限（用于邮箱搜索和清除）
- 用于附件和 URL 分析的恶意软件沙箱（ANY.RUN、Joe Sandbox、Hybrid Analysis）
- 邮件头分析工具（MXToolbox Header Analyzer、Google Admin Toolbox）
- 用于账号修复的身份提供商访问权限（Azure AD、Okta、Duo）
- 钓鱼举报接收流程（专用邮箱或集成举报按钮）
工作流程
步骤 1：接收并分类钓鱼举报
评估举报的邮件以确定其是否为恶意邮件：
- 将邮件提取为 .EML 或 .MSG 文件（保留邮件头）
- 分析邮件头以确定真实发件人、中继路径和认证结果
邮件头分析清单：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path: billing@spoofed-domain[.]com
From: "IT Support" <support@corp-lookalike[.]com>
Reply-To: attacker@gmail[.]com（与 From 不同）
SPF: FAIL（发件人 IP 未被授权用于该域名）
DKIM: FAIL（签名无效）
DMARC: FAIL（策略：none - 无执行）
Received: from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID: <random@attacker-infra.net>
分类标准：
- 确认为钓鱼：恶意 URL/附件、伪造发件人、凭据收割页面
- 可疑：异常邮件头但无确认的恶意内容
- 垃圾邮件/营销邮件：不受欢迎但非恶意
- 合法邮件：非钓鱼邮件（误报）
步骤 2：分析恶意内容
在安全环境中检查 URL 和附件：
URL 分析：
- 通过 VirusTotal、URLscan.io 和 Google Safe Browsing 检查 URL
- 在沙箱浏览器中打开 URL 以捕获着陆页
- 检查 URL 是否重定向到凭据收割页面
- 识别钓鱼套件类型（Microsoft 365 登录克隆、Okta 克隆、通用类型）
- 确定钓鱼页面是否仍处于活跃状态
附件分析：
- 计算文件哈希（SHA-256）并在 VirusTotal 中查询
- 在沙箱中引爆（ANY.RUN、Joe Sandbox）
- 分析文档中的宏（Office 文件使用 olevba）
- 检查嵌入的漏洞利用（文档解析器中的 CVE 利用）
步骤 3：确定影响范围
识别所有收件人并评估谁与钓鱼邮件发生了交互：
范围评估：
━━━━━━━━━━
总收件人： 47 名用户
投递到收件箱： 38 名用户（9 名被邮件网关拦截）
已打开邮件： 24 名用户（邮件追踪像素数据）
已点击链接： 8 名用户（代理/防火墙日志）
已输入凭据： 3 名用户（钓鱼页面已提交表单数据）
已打开附件： 2 名用户（EDR 进程执行遥测）
搜索方法：
- Microsoft 365：使用威胁资源管理器或内容搜索查找邮件的所有实例
- Google Workspace：使用管理控制台 > 调查工具进行邮件搜索
- 代理日志：搜索来自内部 IP 对钓鱼 URL 的连接
- EDR：在所有端点中搜索附件文件哈希的执行
步骤 4：遏制威胁
根据影响评估执行遏制措施：
邮件遏制：
- 使用 Microsoft 365 内容搜索和清除或 Google Workspace 管理员删除，从所有邮箱清除钓鱼邮件
- 在邮件网关阻断发件人域名
- 将钓鱼 URL 添加到 Web 代理阻断列表
- 将附件哈希添加到邮件网关和 EDR 阻断列表
账号遏制（针对输入过凭据的用户）：
- 立即强制重置密码
- 撤销所有活跃会话和 OAuth 令牌
- 启用或重新验证 MFA 注册
- 检查邮箱规则是否存在攻击者创建的转发规则
- 检查未授权的 OAuth 应用程序授权
- 检查近期登录活动是否存在可疑位置
# Microsoft 365：撤销会话并重置密码
Connect-AzureAD
Revoke-AzureADUserAllRefreshToken -ObjectId "user@corp.com"
Set-AzureADUserPassword -ObjectId "user@corp.com" -ForceChangePasswordNextLogin $true
# 检查邮箱转发规则
Get-InboxRule -Mailbox "user@corp.com" | Where-Object {$_.ForwardTo -or $_.RedirectTo}
# 移除可疑转发规则
Remove-InboxRule -Mailbox "user@corp.com" -Identity "Rule Name"
步骤 5：根除并恢复
清除钓鱼攻击的所有痕迹：
- 确认邮件清除已成功完成（所有邮箱）
- 验证受攻陷账号已得到保护（密码已更改、会话已撤销、MFA 已验证）
- 从受影响端点清除通过钓鱼附件安装的任何恶意软件
- 监控受攻陷账号 72 小时以观察是否有持续未授权访问的迹象
- 在暴露窗口期内检查受攻陷账号的数据外泄情况
步骤 6：事件后行动
加强针对类似钓鱼攻击的防御：
- 向 Google Safe Browsing 和 Microsoft SmartScreen 举报钓鱼 URL
- 通过域名注册商滥用联系方式提交钓鱼域名下线申请
- 根据观察到的规避技术更新邮件网关过滤规则
- 向受影响用户发送有针对性的安全意识通知
- 更新钓鱼模拟程序以涵盖观察到的攻击技术
核心概念
| 术语 | 定义 |
|---|---|
| 鱼叉式网络钓鱼（Spear Phishing） | 使用个性化内容针对特定个人或组织精心制作的定向钓鱼攻击 |
| 凭据收割（Credential Harvesting） | 通过模仿合法登录页面捕获用户名和密码的钓鱼技术 |
| SPF（Sender Policy Framework，发件人策略框架） | 指定哪些邮件服务器被授权为某域名发送邮件的电子邮件认证协议 |
| DKIM（DomainKeys Identified Mail，域名密钥识别邮件） | 使用加密签名验证邮件在传输过程中未被篡改的电子邮件认证方法 |
| DMARC | 使用 SPF 和 DKIM 确定邮件真实性并指示接收方如何处理失败情况的策略框架 |
| OAuth 同意钓鱼（OAuth Consent Phishing） | 诱骗用户授予恶意 OAuth 应用程序访问其邮件和数据权限的攻击 |
| 邮件头（Email Header） | 每封邮件中嵌入的元数据，包含用于取证分析的路由、认证和发件人信息 |
工具与系统
- Microsoft Defender for Office 365：具有威胁资源管理器的邮件威胁防护平台，支持调查和自动清除
- Proofpoint TAP（Targeted Attack Protection）：具有 URL 重写和附件沙箱的邮件安全平台
- URLscan.io：扫描 URL 并捕获钓鱼页面截图作为证据的在线服务
- PhishTool：自动化邮件头分析、URL 检查和 IOC 提取的钓鱼分析平台
- GoPhish：用于安全意识测试的开源钓鱼模拟平台
常见场景
场景：通过二维码进行 Microsoft 365 凭据钓鱼
背景：用户举报一封声称来自 IT 部门的邮件，要求重新注册 MFA。邮件包含一个二维码，链接到托管在受攻陷 WordPress 网站上的逼真 Microsoft 365 登录页面克隆。
处理方法：
- 在沙箱中扫描二维码提取 URL
- 分析钓鱼页面：可捕获凭据和 MFA 令牌（中间人攻击）
- 以邮件主题和发件人为搜索条件，在邮件网关中搜索所有收件人
- 与代理日志交叉引用以识别访问了钓鱼 URL 的用户
- 对所有访问该 URL 的用户强制重置密码并撤销会话
- 从所有邮箱清除邮件并阻断发件人域名
- 向所有 47 名收件人发送包含钓鱼邮件视觉示例的具体通知
常见陷阱：
- 未检查可以捕获会话令牌的中间人（AiTM）能力（即使开启 MFA）
- 仅重置密码而不撤销活跃会话（攻击者通过窃取的会话 Cookie 保持访问）
- 未搜索攻击者在攻陷账号后创建的邮箱转发规则
- 遗漏二维码钓鱼（Quishing），因为 URL 扫描工具无法解码二维码图像
输出格式
网络钓鱼事件响应报告
===================================
事件： INC-2025-1602
举报日期： 2025-11-16T09:15:00Z
举报人： jdoe@corp.example.com
分类： 凭据钓鱼（AiTM）
邮件分析
主题： "需要操作：MFA 重新注册"
发件人： it-support@corp-security[.]com（伪造）
SPF： FAIL | DKIM：FAIL | DMARC：FAIL
钓鱼 URL： hxxps://compromised-site[.]com/ms365/login
钓鱼类型： Microsoft 365 AiTM 凭据收割器
影响评估
收件人： 47 人
点击链接： 8 人
输入凭据： 3 人（通过代理 POST 数据确认）
遏制措施
[x] 邮件已从全部 47 个邮箱清除
[x] 钓鱼域名已在 Web 代理处阻断
[x] 发件人域名已在邮件网关处阻断
[x] 3 个受攻陷账号：密码已重置，会话已撤销
[x] 邮箱转发规则已检查（已移除 1 条恶意规则）
[x] OAuth 应用程序授权已检查（未发现未授权授权）
提取的 IOC
域名： corp-security[.]com
URL： hxxps://compromised-site[.]com/ms365/login
IP： 104.21.x.x（Cloudflare 托管）
发件人： it-support@corp-security[.]com
建议
1. 为企业域名实施 DMARC 执行（p=reject）
2. 在邮件网关部署二维码扫描
3. 向全部 47 名收件人发送有针对性的意识通知
4. 通过注册商滥用联系方式申请域名下线