攻击者滥用AI平台仿冒微软登录 多阶段钓鱼攻击窃取实时凭证

网络安全专家发现了一种复杂的多阶段钓鱼攻击活动，攻击者利用AI驱动的演示工具Gamma（伽马）实施凭证窃取攻击，主要针对微软账户用户。

攻击手法分析

这种新发现的攻击链展示了威胁分子如何越来越多地利用合法平台绕过安全控制措施，欺骗毫无戒备的受害者。攻击始于从被入侵的合法账户（通常属于受信任的个人或组织）发送的看似无害的电子邮件。

邮件中包含一个看似PDF附件实则为超链接的内容。点击后，受害者会被重定向至Gamma平台上托管的专业制作演示文稿，该页面带有组织品牌标识和醒目的"查看PDF"或"审阅安全文档"等行动号召按钮。

中间人技术应用

点击按钮后，受害者会被引导至一个带有微软品牌标识的中介页面，该页面受到Cloudflare Turnstile（一种无需验证码的机器人检测机制）保护。这一设计具有双重目的：既防止自动化安全工具分析恶意内容，又同时增强页面的可信度。

Abnormal Security研究人员指出，这种攻击属于日益增长的"依赖可信站点生存"(LOTS)攻击趋势，即威胁分子利用合法服务托管恶意内容。安全团队强调："该活动的特别危险之处在于使用了Gamma这个相对较新的平台，员工可能不会意识到它是钓鱼攻击的潜在载体。"

凭证窃取机制

攻击链最终指向一个高度仿真的微软SharePoint登录门户副本，页面设计模仿微软UI模式，在模糊背景上叠加模态风格的登录窗口。分析表明，攻击者采用了中间人(AiTM)框架，能够实时验证凭证与微软服务器的匹配度，错误密码会显示准确的错误提示信息。

此次攻击活动凸显了钓鱼攻击日益精密的趋势，也强调企业需要部署能够检测基于上下文威胁的高级安全解决方案，而非仅依赖传统的入侵指标。

原文来自: cybersecuritynews.com