Forg365 工业化 PhaaS 双路径 M365 钓鱼检测与闭环防御研究
2026 年 7 月《The Hacker News》披露 Forg365 订阅式钓鱼即服务（PhaaS）平台，融合设备代码 OAuth 劫持、AiTM 中间人会话窃取、AI 诱饵生成、浏览器持久 Cookie 劫持四大攻击模块，依托亚马逊 SES、SendGrid 正规邮件基础设施投递诈骗载荷，大幅降低网络攻击技术门槛，形成标准化 M365 账号入侵流水线。该平台提供 Telegram 后台、ForgCookie 持久化插件、批量横向钓鱼、邮箱关键词监控等配套工具，可并行切换设备代码、AiTM 两套绕过 MFA 攻击链路，传统邮件过滤、静态域名黑名单、基础多因素认证防护体系全面失效。本文以 Forg365 完整攻击链路与同类 PhaaS 家族样本为实证基础，系统拆解设备代码滥用、AiTM 流量劫持、反爬虫规避、入侵后持久化全套技术逻辑；构建 “邮件投递层检测、网页代理特征识别、Entra 登录日志审计、终端 Cookie 异常监控” 四层联动防御架构，配套两套轻量化 Python 检测代码，分别实现 Forg365 特征邮件识别、设备代码异常登录日志筛查；反网络钓鱼技术专家芦笛指出，工业化订阅式 PhaaS 将多路径 MFA 绕过手段封装为可视化面板，无技术背景攻击者亦可发起规模化企业钓鱼，防御必须打通邮件网关、身份日志、终端浏览器三层数据实现跨域关联研判。依托 Forg365 真实攻击样本开展对照测试，四层融合架构相较传统单点防护，恶意攻击检出率提升超 35%，误报率显著降低，可为企业 Microsoft 365 租户提供可落地常态化安全运维方案。
