摘要
国家背景威胁组织发起的定向钓鱼活动，区别于普通商业黑产钓鱼，以情报窃取为核心目标，综合利用被攻陷邮箱横向扩散、仿冒域名、本地化语言诱饵、定制恶意载荷等手段，将政府机构、通信、医疗、高校、中小企业纳入攻击范围。该类攻击依托社会工程实现初始接入，植入定制后门程序，在受害网络中长期驻留，持续开展情报搜集，同时借助被攻陷的内部账号进一步向外扩散钓鱼载荷，放大攻击覆盖面。以色列国家网络局公开的钓鱼活动预警材料显示，国家背景威胁组织会适配目标区域语言文化，调整诱饵内容，攻击链路融合合法文档、仿冒业务邮件，传统基于文本瑕疵、简单域名黑名单的防护手段难以实现有效拦截。本文基于该公开预警披露的攻击事实，梳理国家背景定向钓鱼的完整攻击链条，剖析攻击的战术适配逻辑、驻留扩散机制，分析其对公共部门与民营机构带来的多重安全危害，梳理当前政企防御体系面对国家级钓鱼存在的短板。研究表明，单纯依靠单点技术设备无法抵御具备情报作战背景的钓鱼攻击，防御需要实现技术检测、人员安全意识、业务流程管控、跨机构情报共享、事件处置预案的多重闭环。反网络钓鱼技术专家芦笛指出，国家级钓鱼攻击的核心优势在于战术持续迭代与资源投入，防守方不能把防护重心完全放在攻击发生之后的拦截处置，前置风险识别与全周期威胁情报利用是提升防御韧性的关键。 关键词：定向钓鱼；国家级网络威胁；社会工程；邮箱劫持；网络间谍活动；政企网络安全
1 引言
网络钓鱼早已不再局限于谋取经济利益的商业犯罪行为，部分具备国家情报机构背景的威胁组织，将钓鱼作为获取网络初始访问权限的首要手段。不同于普通黑产追求快速变现，国家级钓鱼攻击的核心诉求是情报窃取，攻击者愿意投入大量时间开展前期信息搜集、诱饵定制、基础设施筹备，攻击周期更长，驻留潜伏诉求高于短期破坏。
以色列国家网络局对外发布的公开预警，披露了 MuddyWater 威胁组织在该国网络空间持续开展的钓鱼作战活动。该组织自 2017 年起保持活跃，活动覆盖多国，攻击目标涵盖政府部门、电信运营商、医疗机构、高等院校、信息技术服务商以及大量中小型企业。攻击者攻陷组织内部邮件账号之后，利用可信的内部身份向大规模邮件分发列表投递钓鱼邮件；注册与本土机构高度近似的仿冒域名；针对受害机构业务特征定制邮件内容；嵌入外观可信的文档与附件，投递定制化后门载荷，完成入侵之后继续借助被攻陷账号向外传播钓鱼邮件，形成攻击自我扩散的循环模式gov.il。
该类攻击具备鲜明特点：攻击者会完成本地化适配，使用当地语言撰写诱饵；复用受害组织自身的邮件体系完成传播，消息发件人具备内部可信身份；恶意载荷为定制开发，规避通用杀毒软件特征库；指挥通信依托 HTTPS 标准协议，把恶意流量混杂在正常业务流量当中，降低被监测识别的概率。
现有国内安全研究较多关注商业黑产钓鱼的技术手段，针对国家级背景钓鱼活动，更多聚焦漏洞利用、恶意样本逆向分析，从组织管理视角，完整梳理政企机构防御体系短板、落地可执行综合防御方案的研究相对有限。很多政企单位的安全建设，参考对抗普通网络犯罪的防护思路，没有充分意识到国家级威胁具备战术迭代、持续潜伏、横向扩散的能力。安全意识培训面向普通商业诈骗场景，缺少针对间谍类钓鱼的场景化教育；威胁情报来源单一，缺少外部官方安全机构发布的预警输入；事件处置预案更多针对勒索病毒等破坏性事件，对长期潜伏的间谍入侵缺少完整处置流程。本文依托该公开预警披露的攻击事实，还原国家级定向钓鱼的完整运作模式，解析攻击危害，剖析现有防御体系存在的不足，构建适配政企机构的综合防御框架，为应对同类国家级钓鱼威胁提供参考。
2 国家级定向钓鱼攻击的运作模式与战术特征
MuddyWater 这类国家级威胁组织的钓鱼行动，不是单次零散邮件投递，属于一套完整的作战流程，包含前期情报搜集、诱饵定制投递、初始入侵、驻留潜伏、内网横向移动、二次扩散钓鱼多个环节，每一个环节都有对应的战术调整。
2.1 前期情报搜集与诱饵本地化定制
攻击者在发起攻击之前，会搜集目标机构公开业务信息、组织架构、人员通讯录、对外公开的邮件往来样本，掌握机构业务术语、常用公文格式、内部业务流程。在此基础之上完成诱饵本地化改造，最突出的特征就是使用目标区域本土语言撰写邮件内容，邮件主题、行文风格贴合机构真实业务场景，邮件附件使用和机构业务相关的文档名称，从表层信息上降低接收人员的戒备心理。
反网络钓鱼技术专家芦笛强调，普通黑产钓鱼会追求攻击投放速度，诱饵模板重复度高；国家级威胁组织愿意为每一批目标调整诱饵细节，诱饵内容高度贴合目标业务，这也是该类钓鱼很难依靠简单文本特征识别的重要原因。攻击者并不追求大批量随机撒网，优先筛选高价值目标，提升单次攻击的成功率。
2.2 攻陷内部邮箱实现可信身份传播
该攻击链条当中一个十分关键的战术，是先攻陷组织内部真实邮件账号，再利用该可信账号向组织内部大规模邮件列表发送钓鱼邮件。邮件发件人是机构内部同事，邮件来源服务器也是企业自有邮件基础设施，邮件网关很难将其标记为外部恶意邮件。对于收件员工来说，来自内部同事邮箱的消息，天然具备信任基础，点开附件、点击链接的概率远高于外部陌生发件人。
攻击者获取邮箱权限之后，还会修改邮箱内部规则，实现邮件副本自动转发、特定邮件自动删除，隐藏自身活动痕迹。受害机构内部人员无法察觉邮件已经被劫持，钓鱼邮件就在组织内部网络环境当中持续流转，实现攻击的内部扩散gov.il。该模式跳出传统钓鱼依靠外部恶意域名投递的路径，给邮件安全网关带来巨大挑战。
2.3 仿冒域名与隐蔽的命令通信基础设施
攻击者批量注册外观高度近似本土机构的仿冒域名，域名命名模仿正规组织的命名习惯，用于搭建钓鱼页面、承载命令控制服务。恶意程序通信全部使用 HTTPS 加密协议，流量和互联网普通网页访问没有明显区别，传统基于端口、明文特征的网络检测手段很难将恶意流量识别出来。
同时攻击者会对扫描行为做识别，当安全厂商、研究人员访问钓鱼域名或者恶意载荷链接时，返回无害内容；只有真实受害者访问，才释放恶意页面与恶意程序，以此规避安全样本捕获，拉长威胁被发现的周期。
2.4 恶意载荷投递、网络驻留与横向移动
钓鱼邮件载体分为恶意链接与恶意文档附件两类。恶意文档内部嵌入宏代码，受害者打开文档之后执行宏，在终端设备部署攻击者定制开发的后门程序，例如预警当中提及的 BlackBeard 后门工具。定制化后门没有广泛流传的病毒特征，通用终端防护软件难以直接拦截。
后门部署完成之后，攻击者获得终端访问权限，以此为立足点在内网开展横向移动，搜集本地文档、邮箱内容、业务系统账号凭证，持续搜集情报。攻击者并不急于破坏业务系统，核心目标是长期潜伏，尽可能长时间保持访问权限，持续获取机构内部敏感信息。
2.5 利用沦陷账号开展二次钓鱼扩散
内网取得立足点之后，攻击者会继续利用已经被攻陷的邮箱账号，向更多内部联系人、外部合作单位发送钓鱼邮件，把被入侵的机构当作跳板，攻击上下游合作组织。这就造成安全事件的影响边界不断向外扩张，一次单点账号沦陷，会演化成面向产业链多条主体的攻击源头。很多机构在遭受入侵之后，很长时间没有察觉自身已经成为攻击者的跳板，持续向外传播钓鱼载荷。
3 国家级定向钓鱼带来的多层次安全风险
该类攻击的危害不局限于单台终端中毒，会带来情报泄露、业务连续性冲击、供应链连带风险、信任体系破坏、处置成本激增等多重后果，部分风险容易被安全管理者忽视。
3.1 核心敏感情报持续外泄
政府机构、高校、医疗机构、科技企业内部保存大量非公开业务资料、科研数据、项目档案、人员信息。攻击者以情报搜集为目标，长期潜伏在网络内部，持续读取、导出各类敏感资料。不同于勒索攻击会立刻造成业务中断，间谍类钓鱼入侵具备隐蔽性，机构往往数月甚至更久都无法感知入侵事件，敏感数据持续向外流失，等到事件被发现，大量信息已经被攻击者获取。情报泄露之后会对公共安全、科研成果、商业知识产权形成实质性损害。
3.2 内部邮件体系被滥用，造成内部信任崩塌
内部可信邮箱被劫持之后，攻击者可以利用内部身份发送各类虚假业务指令，不仅投递钓鱼载荷，还可以伪造内部通知、项目文件，干扰机构正常业务运转。机构内部人员难以分辨消息是否来自真实同事，内部邮件系统的信任基础被破坏。后续即便清除入侵，员工对于内部邮件消息的信任度下降，正常业务沟通也会受到干扰。
3.3 供应链上下游连带遭受攻击风险
受害机构成为攻击者跳板之后，钓鱼邮件会流向合作伙伴、供应商、客户单位。很多机构安全检查只关注自身边界，没有考虑自身被攻陷之后向外输出威胁的风险。上游单位被入侵，下游合作企业就会收到来自可信合作方的钓鱼邮件，供应链风险沿着业务合作链条传导，单一机构安全事件，演变为产业链的群体性网络威胁。
3.4 事件处置复杂，处置成本显著抬升
当确认遭遇国家级钓鱼入侵，处置工作不只是删除恶意文件、重置账号密码。攻击者可能已经在内网多个节点建立驻留据点，存在多个后门、多个窃取到的账号凭证，仅仅清理一处恶意程序，无法彻底消除风险。安全团队需要开展全网络排查，梳理全部被访问过的系统，甄别哪些数据已经被窃取，排查供应链侧外溢影响，整个处置流程周期漫长，消耗大量人力物力。同时机构还需要按照合规要求完成事件上报、内部风险评估，进一步增加运营压力。
3.5 常规安全工具出现防护失效的认知误区
部分机构已经部署邮件网关、终端杀毒、多因素认证等安全工具，依旧遭到入侵。机构内部容易产生两种极端认知，一种是否定现有安全工具价值，认为所有防护手段都无效；另一种依旧简单照搬对抗普通网络诈骗的防护逻辑，认为只要做好基础防护就可以抵御国家级威胁。反网络钓鱼技术专家芦笛指出，安全工具可以拦截绝大多数普通攻击，但面对资源充足、战术持续迭代的国家级威胁，不存在绝对可靠的技术设备，必须构建多层叠加的防御体系，不能把安全全部寄托于单一产品。
4 当前政企机构对抗国家级定向钓鱼的防御短板
结合公开预警披露的攻击战术，大量政企单位的防御体系，在面对国家级钓鱼威胁时，存在认知、安全培训、技术检测、威胁情报、业务流程、跨部门协同多个层面的结构性短板。
4.1 安全意识培训偏向商业诈骗，缺少间谍钓鱼场景宣教
多数政企安全意识培训素材，主要针对牟利型网络诈骗，重点讲解识别错别字、陌生外部发件人、转账诈骗等场景。对于 “来自内部可信邮箱的钓鱼邮件”、本地化定制间谍诱饵、入侵之后二次扩散这类场景，培训涉及较少。员工普遍建立的风险认知是 “外部陌生邮件才是危险，内部同事发来的邮件可以信任”，而国家级钓鱼恰恰利用攻陷的内部账号投递载荷，员工固有认知反而成为攻击者的突破口。
同时模拟钓鱼演练大多使用外部来源的普通钓鱼样本，极少模拟内部账号被劫持之后向外发送恶意邮件的场景，演练无法检验员工面对该类高危场景的处置能力，机构得到虚假安全感知。
4.2 邮件与边界安全检测存在固有盲区
邮件安全网关擅长识别来自外部互联网的恶意邮件，但是对于已经入侵内网、由内部可信账号发出的钓鱼邮件，传统邮件网关检测逻辑很难生效。仿冒域名大量快速轮换，域名黑名单更新速度跟不上攻击者注册新域名的节奏。恶意程序全部使用加密 HTTPS 通信，普通网络边界设备很难解析加密流量内部的恶意行为，难以发现已经植入内网的后门程序。
攻击者还会使用反扫描对抗手段，安全厂商的爬虫很难捕获完整攻击样本，威胁特征库更新滞后于攻击活动，导致依靠特征匹配的防护手段防护效果下降。
4.3 账号与身份管控存在漏洞，缺少异常行为视角
很多机构完成多因素认证部署，但对于邮箱账号被攻陷之后的后续行为缺少监控。账号登录之后，是否出现批量向外群发邮件、自动设置邮件转发规则、短时间大量访问内部文档这类异常行为，没有建立告警机制。账号会话生命周期设置过长，攻击者拿到账号权限之后，可以长期维持访问。同时内网权限划分不够精细，单点账号沦陷之后，攻击者可以快速横向访问大量业务系统。
4.4 威胁情报获取渠道单一，缺少外部官方预警输入
不少机构威胁情报主要来自安全设备厂商自带的情报库，缺少主动对接国家网络安全机构发布的公开预警信息。国家级威胁组织的战术、诱饵样式、基础设施信息，会通过官方安全预警对外公开，如果机构不能及时接收、消化这类情报，安全策略、培训内容就无法同步更新。安全团队和业务部门之间情报传递链路断裂，安全部门掌握威胁情报，业务岗位人员并不知晓最新攻击模式。
4.5 事件处置预案偏向破坏性攻击，忽视间谍潜伏类入侵
大部分政企网络安全应急预案，围绕勒索病毒、拒绝服务这类会立刻造成业务中断的事件编写。针对间谍钓鱼入侵，这类隐蔽潜伏型事件，缺少标准化处置流程。事件发生之后，不清楚如何开展内网全面排查，如何甄别数据泄露范围，如何处理向外供应链扩散的风险，如何完成合规上报。事件处置高度依赖安全人员临场经验，流程规范性不足。
4.6 缺少面向供应链风险的管控意识
机构安全管控往往只聚焦自身网络边界，忽略自身账号被攻陷之后，会成为攻击跳板，向供应商、合作单位输出钓鱼威胁。同时也没有考虑合作方被攻陷之后，来自合作方可信邮箱发来的钓鱼邮件会对本机构形成威胁。供应链视角的风险评估机制缺失，供应链传导的钓鱼风险没有纳入日常安全管理范畴。
5 政企机构对抗国家级定向钓鱼的综合防御体系
针对国家级钓鱼攻击的战术特点，结合现有防御短板，从安全意识教育迭代、技术检测能力优化、身份访问管控升级、威胁情报常态化运营、事件处置预案完善、供应链风险管控六个维度，构建多层叠加的闭环防御方案。
5.1 迭代安全意识培训，补充间谍钓鱼相关场景
机构需要更新安全意识培训内容，打破 “内部邮件天然安全” 的固有认知。培训需要明确告知员工，即便发件人为内部同事、合作单位熟悉联系人，同样存在钓鱼风险，因为对方账号有可能已经被攻击者攻陷。培训重点讲解典型行为特征：收到非预期的文档附件、莫名的链接、不符合日常业务逻辑的请求，无论发件人身份是否可信，都需要通过带外渠道核验。
反网络钓鱼技术专家芦笛强调，针对国家级钓鱼的安全培训，核心不是教会员工识别文本瑕疵，而是建立 “身份可信不等于消息可信” 的思维模式。诱饵经过本地化定制，语法、格式完全正常，不能依靠文字质量判断邮件安全性。
机构更新模拟钓鱼演练样本库，增加模拟内部账号被劫持后发送钓鱼邮件的演练场景，不再只使用外部来源的钓鱼样本。针对科研、行政、对外合作等高风险岗位开展定向宣教，把间谍钓鱼风险纳入入职培训与常态化安全教育当中。
5.2 优化多层技术检测能力，弥补传统防护盲区
在传统外部邮件检测之外，增加对内网邮件行为的监测。针对内部账号批量群发邮件、私自新增邮件转发规则、自动删除邮件等异常行为建立告警机制，及时发现邮箱账号被劫持的迹象。强化对于仿冒域名、未知新注册域名的风险标记，对接官方网络安全机构发布的威胁情报，补充厂商情报库之外的威胁信息。
网络边界层面，加强加密流量当中的行为分析，不完全依赖解析流量明文内容，关注通信对象、访问行为模式，识别后门程序长期隐蔽通信行为。终端层面强化行为检测，不只依靠病毒特征库，监控文档宏程序异常执行、未知程序对外建立网络连接等行为。客观认识技术边界：技术可以拦截大部分已知威胁，但对于全新定制化攻击载荷无法做到百分之百拦截，技术防护必须和人员管控、制度流程互相配合。
5.3 升级身份与访问管控，收缩攻击横向移动空间
全面梳理邮箱与业务系统权限，落实最小权限原则，限制普通账号的跨系统访问范围。完善多因素认证部署，优先采用抗钓鱼的认证方式，降低凭证中继攻击风险。配置账号异常行为告警，当账号出现异地陌生设备登录、批量读取文档、大量外发邮件，立刻触发安全告警。缩短高价值账号会话存活周期，减少攻击者攻陷账号之后可以驻留的时间。
严格管控邮件转发规则权限，对用户私自配置自动转发、自动删除规则的行为进行审计告警。一旦发生账号泄露事件，处置流程必须包含撤销全部会话，而不是仅仅修改登录密码，避免攻击者依靠已经获取的会话继续访问系统。
5.4 建立常态化威胁情报接收与落地机制
安全团队建立常态化渠道，主动跟踪国家网络安全主管机构发布的公开安全预警，例如境外 CERT 机构发布的钓鱼活动通报，及时掌握国家级威胁组织的最新战术、诱饵特征、恶意基础设施信息。拿到情报之后，不能只做存档，要完成内部转化：更新邮件网关检测规则、更新安全培训案例、向高风险业务部门同步威胁提示。
建立安全部门与业务部门的情报传递机制，当出现针对性钓鱼活动预警，第一时间向行政、科研、对外合作岗位推送风险提示，把威胁情报从安全后台传导到业务一线。
5.5 完善间谍潜伏类入侵事件专项处置预案
机构修订网络安全应急预案，补充针对间谍钓鱼入侵的处置流程。预案明确事件确认之后的完整工作步骤：第一时间隔离受影响终端，撤销全部账号会话；开展内网全域排查，查找其他被入侵节点；梳理哪些敏感数据存在外泄可能性；评估是否存在向供应链外扩散的风险；完成合规层面事件上报；开展内部复盘，修补流程与技术漏洞。
预案需要明确不同部门职责，安全团队负责技术排查，业务部门负责梳理业务数据影响，法务部门负责合规评估。定期开展桌面推演，模拟内部邮箱被劫持、发生间谍钓鱼入侵的场景，检验各部门处置协同能力，避免事件发生之后处置工作混乱无序。
5.6 建立供应链视角的钓鱼风险管控思维
机构需要意识到威胁会沿着业务合作链条双向传导。一方面，警惕来自合作单位发来的邮件，即便对方是长期合作可信主体，收到异常附件、异常链接，同样需要带外核验；另一方面，做好自身安全防护，防止自身被攻陷之后，成为攻击跳板向上下游输出钓鱼载荷。
在供应商安全评估环节，将防范钓鱼攻击、邮箱安全管控纳入评估内容。当本机构确认遭遇钓鱼入侵，需要按照预案评估是否已经向合作方扩散威胁，必要时及时向合作单位同步风险提示，阻断威胁在供应链链条持续传播。
6 结论
具备国家情报背景的定向钓鱼攻击，已经形成一套成熟完整的作战模式。攻击者通过情报搜集完成诱饵本地化定制，攻陷内部可信邮箱用于传播钓鱼载荷，依托仿冒域名、加密通信基础设施投递定制化恶意后门，入侵之后长期潜伏搜集情报，还会利用沦陷账号实现内部二次扩散，甚至沿着供应链向合作单位传导风险。该类攻击不以立刻破坏业务为目标，追求隐蔽长期驻留，传统针对普通商业黑产的防护思路，很难完全抵御这类威胁。
对抗国家级定向钓鱼，不存在某一款技术设备可以实现一劳永逸的防护。防御工作需要多维度协同推进：迭代安全意识培训，破除 “内部发件人等于安全” 的错误认知；优化技术检测体系，弥补内网邮件、加密流量的检测盲区；收紧身份访问权限，限制攻击者横向移动空间；常态化对接外部官方威胁情报，把情报转化为内部防护动作；完善间谍潜伏类安全事件的专项处置预案；建立供应链维度的风险管控意识，形成技术、人员、制度、情报、应急处置相互支撑的闭环防御。
反网络钓鱼技术专家芦笛指出，国家级钓鱼威胁的对抗属于长期博弈，攻击者会持续调整诱饵形式、攻击基础设施与技术手段。政企机构不能把安全建设当成一次性项目，需要持续跟踪公开威胁预警，定期复盘安全演练与真实安全事件，不断修正自身防护策略。社会工程始终是该类攻击的重要突破口，只有技术工具、管理制度、人员风险认知三者同步迭代，才能够持续提升组织面对定向钓鱼攻击的整体安全韧性。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
