设备代码钓鱼攻击席卷340多个Microsoft 365组织，波及五个国家

网络安全研究人员正在关注一场活跃的设备代码钓鱼活动，该活动针对美国、加拿大、澳大利亚、新西兰和德国的340多个组织的Microsoft 365身份。

据Huntress称，该活动于2026年2月19日首次被发现，此后案例以加速的速度出现。值得注意的是，该活动利用Cloudflare Workers重定向，将捕获的会话重定向到名为Railway的平台即服务（PaaS）产品上托管的基础设施，有效地将其转变为凭证收集引擎。

建筑、非营利组织、房地产、制造、金融服务、医疗保健、法律和政府是该活动针对的一些主要行业。

"这场活动之所以不同寻常，不仅在于所涉及的设备代码钓鱼技术，还在于观察到的各种技术，"该公司表示。"建筑投标诱饵、登陆页面代码生成、DocuSign冒充、语音邮件通知以及滥用Microsoft Forms页面都通过相同的Railway.com IP基础设施攻击同一受害者群体。"

设备代码钓鱼是一种利用OAuth设备授权流程的技术，旨在向攻击者授予持久的访问令牌，然后可用于控制受害者账户。这种攻击方法的显著特点是，即使重置账户密码后，令牌仍然有效。

攻击的高级流程如下：

"一旦用户成为钓鱼的受害者，他们的认证就会生成一组现在驻留在OAuth令牌API端点的令牌，可以通过提供正确的设备代码来检索，"Huntress解释道。"攻击者当然知道设备代码，因为它是由对设备代码登录API的初始cURL请求生成的。"

在Huntress检测到的活动中，认证滥用源自一小群Railway.com IP地址，其中三个地址约占观察到的事件的84%：

攻击的起点是一封钓鱼邮件，它将恶意URL包装在来自Cisco、Trend Micro和Mimecast的合法安全供应商重定向服务中，以绕过垃圾邮件过滤器并触发多跳重定向链，其中包含受损站点、Cloudflare Workers和Vercel的组合作为中介，然后将受害者带到最终目的地。

"观察到的登陆站点提示受害者继续前往合法的Microsoft设备代码认证端点并输入提供的代码以读取某些文件，"Huntress说。"代码在受害者到达页面时直接渲染在页面上。"

Huntress此后将Railway攻击归因于一个名为EvilTokens的新钓鱼即服务（PhaaS）平台，该平台上个月在Telegram上首次亮相。除了宣传发送钓鱼邮件和绕过垃圾邮件过滤器的工具外，EvilTokens仪表板还为客户提供易受攻击域名的开放重定向链接以混淆钓鱼链接。

为应对这一威胁，建议用户：

来源： The Hacker News (2026年3月25日)