2022 年 3 月，Mandiant 研究人员使用名为 Caffeine 的共享网络钓鱼即服务 (PhaaS) 平台发现了威胁参与者。

专家们注意到该工具包具有直观的界面并支持多种功能，使客户可以轻松安排网络钓鱼活动。

该服务包括自助服务机制，用于制作定制的网络钓鱼工具包、管理中间重定向页面和最后阶段的诱饵页面、动态生成托管恶意负载的 URL 以及跟踪活动电子邮件活动。

与大多数 PhaaS 平台不同，Caffeine 具有完全开放的注册过程，这意味着任何拥有电子邮件的人都可以注册他们的服务。

“与 Mandiant 遇到的大多数 PhaaS 平台不同，Caffeine 的独特之处在于它具有完全开放的注册流程，几乎任何人都可以通过电子邮件注册他们的服务，而不是直接通过狭窄的沟通渠道（例如地下论坛或加密消息传递）工作服务或需要现有用户的认可或推荐。” 阅读Mandiant 发布的报告。

“此外，为了最大限度地支持各种客户，Caffeine 还提供了专门用于针对中国和俄罗斯目标的网络钓鱼电子邮件模板；该平台的一个普遍不常见且值得注意的功能（稍后将详细介绍）。

该工具包为广泛的目标提供了模板，包括中国和俄罗斯的组织，这在网络犯罪生态系统中并不常见。
Caffeine 在多个网络犯罪地下论坛上做广告，其订阅模式与其他 PhaaS 平台相比更昂贵。每月基本订阅费用约为 250 美元，而其他 PhaaS 的费用在 50 美元到 80 美元之间。三个月的订阅（专业版）需要 250 美元，而六个月的许可证（企业版）需要 850 美元。

Mandiant 分析的网络钓鱼活动之一依赖于 Caffeine 工具包，旨在窃取 Microsoft 365 凭据。登陆页面托管在之前被入侵的合法 WordPress 网站上。

研究人员观察到的登陆页面目前仅限于 Microsoft 365 凭据收集诱饵，但专家认为，工具包的作者将来会根据客户需求支持更多的网络钓鱼页面。

Mandiant 发布的报告提供了有关 Caffeine 网络钓鱼平台主要元素的详细信息，这些元素是：

Core Caffeine account（账户）

Licensing（许可）

Campaign infrastructure and configuration（广告系列基础架构和配置）

“同样重要的是要记住，针对 PhaaS 攻击的防御措施可能是一场猫捉老鼠的游戏。只要威胁参与者的基础设施被拆除，新的基础设施就可以启动。” 总结报告，其中包括针对此威胁和 IoC 的 Yare 规则。

以下是 Mandiant 为组织提供的建议，以减少网络钓鱼攻击和受损域在战略层面的影响：

根据内容的已知良好版本定期评估任何面向公众的 Web 基础设施和文件。

利用行为分析进行网络日志分析，包括初始 URL 结构、表单提交和重定向。

偶尔重新评估有关密码和凭据重置的安全策略。

至少对用于从外部源访问企业环境的任何用户帐户实施双重身份验证。

来源：T00ls