疑似俄罗斯黑客滥用谷歌合法认证流程开展间谍钓鱼活动

安全人员观测到 3 个疑似俄罗斯网络间谍威胁集群，利用平台合法认证流程，针对欧洲学术界、航空航天国防、政府机构、智库，以及美国学术界与智库人员实施定向攻击。 三个威胁集群分别为：UNC6293、UNC7005、UNC5976。

“这些威胁集群开展持续性、适应性钓鱼活动，使用复杂社会工程手段，攻陷多平台个人账号。”—— 谷歌威胁情报团队（GTIG）研究员 Gabby Roncone、Wesley Shields。

UNC6293

UNC6293 被评估为Ice Relic（原 APT29，Cozy Bear / Midnight Blizzard） 的子集群。该团伙在 2025 年 6 月就被曝光，当时滥用谷歌 “应用专用密码” 功能接管受害者账号。

此后该团伙持续开展小规模钓鱼，单次攻击目标通常少于 5 人；伪装成美国国务院官员实施应用专用密码钓鱼。应用名称、诱饵内容围绕外交议题、各类国际会议，部分诱饵事件此前已被 Volexity 在 2025 年 12 月披露。

谷歌观测到，最晚在 2026 年 6 月，该团伙实施OAuth 钓鱼：诱骗目标在第三方站点完成真实登录后，向攻击者提供完整 URL 或验证码；拿到验证码后攻击者即可接管受害者账号。

UNC5976

该团伙同样专注认证劫持，使用 OAuth 钓鱼，借助云基础设施自动化窃取访问令牌，至少自 2026 年 3 月起活跃。

GTIG 介绍其攻击链路：UNC5976 注册大量域名，域名大多模仿文件共享服务，再创建与该域名绑定的谷歌云项目；域名托管伪造的文件共享页面。受害者访问页面数秒后弹出登录弹窗。

弹窗显示 “使用谷歌账号继续” 按钮，点击后跳转至谷歌官方 OAuth 登录页。受害者完成真实身份认证后，会跳转至攻击者控制的谷歌云项目地址，页面内恶意脚本从 URL 中提取认证令牌留存，供后续滥用。

2026 年 3 月至今，该团伙至少新建 12 套域名及配套基础设施，均已被谷歌处置。受谷歌清理影响，UNC5976 已放弃谷歌云，迁移至其他云服务商托管钓鱼页面。

UNC5976 还使用代号HEADRUSH的恶意 Excel 插件，用于下发 HTA（HTML 应用程序）载荷。该恶意程序 2026 年 4 月被发现，通过仿冒乌克兰研究所的虚假域名分发；有迹象表明该工具针对乌克兰一家航空航天遥感企业，完整受害范围尚不明确。

“该团伙主要针对军方、航空航天、国防工业基地、非政府组织与智库；地理目标集中于乌克兰、亚美尼亚。”

UNC7005（Storm‑2945）多战术攻击团伙

UNC7005 是本次谷歌报告重点对象，2026 年 2 月被识别，主要针对乌克兰、西欧、美国的学术界、外交人员、非营利机构人员。

UNC6293 与 UNC7005 均被认为隶属于 Ice Relic 下属负责初始入侵的子小组，入侵后使用商业住宅代理隐藏流量。和 UNC6293 类似，UNC7005 实施高度选择性的应用密码钓鱼，针对克里姆林宫重点关注人员。

该团伙针对微软账号、WhatsApp 账号开展钓鱼：

• 针对微软账号：发送伪装外交会议邀请的钓鱼邮件，链接指向攻击者站点。站点会收集访客信息，再诱导受害者确认参会，填写用餐、酒水偏好。
• WhatsApp 钓鱼链路（2026 年 5‑6 月）：钓鱼页面欺骗受害者，声称绑定 WhatsApp 账号到攻击者设备即可接入安全通话、聊天、文档共享。页面要求受害者填写手机号，以此向攻击者设备发起官方 WhatsApp 设备绑定请求，展示真实二维码与绑定指引。 账号绑定成功后，页面继续诱导受害者：
  1. 接入语音通话：页面执行 JavaScript 录制音视频，回传至 C2 服务器；
  2. 加密聊天选项：脚本诱导用户复制页面给出账号密码，跳转至另一个恶意地址登录；
  3. 文件下载：具体行为未知。

  
  

2026 年 5 月，UNC7005 引入 Vidar、Atomic（AMOS）这类公开盗号木马。向研究俄罗斯、前苏联地区的美国学者、外交人员发送钓鱼邮件，链接仿冒 “支持乌克兰决议峰会” 的虚假站点，诱导下载峰会配套程序，木马窃取 Windows、macOS 主机数据。

2026 年 7 月 31 日起，UNC7005 注册仿冒芬兰运营中心（FOC）的域名；8 月 6‑13 日向欧洲国防行业相关目标发送定向钓鱼邮件。访问域名跳转谷歌官方 OAuth 登录页，认证完成后跳转攻击者未核验谷歌云项目，窃取令牌劫持账号。

CaptiveCrunch 活动

UNC7005 同步开展名为CaptiveCrunch的攻击活动，微软、Reliaquest 上月披露该行动。 攻击针对酒店、会议中心、机场的公共认证 Wi‑Fi 门户：攻击者获取 Wi‑Fi 网关管理员权限，篡改配置，实施 DNS 投毒，劫持正常网络流量，把用户导向攻击者基础设施窃取凭证，攻击自 2026 年 5 月初持续至今。

手段包括：

1. 使用仿冒微软服务的镜像域名开展中间人（AitM）钓鱼，滥用 Microsoft Entra ID 设备码认证流程；
2. 利用中间人劫持，在浏览器做联网检测时推送伪装浏览器、系统更新的恶意程序；
3. 下发 Go 语言远控木马CornFlake RAT，或者借助 ClickFix 诱饵投递 PowerShell 载荷ChocoShell（CHERRYPIE）。

CornFlake RAT 具备系统信息收集、文件与键盘记录、凭证与会话令牌窃取、音视频监控、可移动介质监测、反弹 Shell 能力。 ChocoShell 是盗号类 PowerShell 脚本，绕过 Chrome 应用绑定加密保护，窃取 Cookie、保存密码、微软 365 SSO 令牌、Wi‑Fi 凭据；证据显示该恶意程序大概率由大模型 LLM 生成。

整套攻击由名为FruitStone的网页版 C2 面板统一管控，伪装成 “CloudSync Console”，对外标识归属 “Acuity Systems, Inc.”，伪装正规云管理平台规避检测。FruitStone 为单页 Web 应用，无访问鉴权，可管理沦陷终端、生成下发载荷、浏览截图、键盘记录、浏览器凭据等窃取数据。

Lumen Black Lotus Labs 的追踪提示：CaptiveCrunch 有可能包含供应链攻击。攻击者入侵多家托管服务商（MSP），利用服务商与客户的信任关系横向渗透。

“攻入客户网络后，攻击者在被攻陷 Wi‑Fi 路由器劫持 DNS 请求，将旅行者重定向伪造认证门户窃取 OAuth 令牌，或是下发盗号木马。”

Lumen 遥测数据观测约 70 个受害 IP；其中 40 个 IP 向 CaptiveCrunch C2 发送 DNS 请求，代表攻击者做探测枚举；30 个 IP 与中间人基础设施交互用于窃取令牌；1 个 IP 和 ChocoShell C2 通信。

“这批俄罗斯以认证劫持为核心的网络间谍集群，大量滥用平台原生合法功能与基础设施，覆盖应用专用密码、设备绑定等多种认证方式。攻击者借助合法能力劫持账号，加大了区分正常、恶意账号访问的溯源难度。多重战术组合既可以快速窃取数据，还能够利用已经攻陷的可信账号，继续对其他目标开展钓鱼。”