虚假 OpenAI、SpaceX 活动被用于窃取 Microsoft、Google 账户

黑客正在利用虚假的 OpenAI、SpaceX 和 Anthropic 活动邀请，诱骗员工进入钓鱼攻击，使用两个不同的钓鱼即服务平台窃取 Microsoft 和 Google 账户凭据及身份验证会话。

根据 Push Security 的一份新报告，攻击者使用令人信服的活动注册页面，提供免费访问高级 AI 服务和其他奖励，诱骗受害者使用其企业账户登录。

这些攻击的有趣之处在于，同一个钓鱼页面集成了两个独立的钓鱼即服务（PhaaS）平台——Kali365 和 VoidProxy——使用不同的身份验证攻击针对 Microsoft 和 Google 账户。

Kali365 执行 Microsoft 设备代码钓鱼攻击，而 VoidProxy 充当中间人（AiTM）反向代理，拦截 Google 登录并窃取身份验证会话 Cookie。

Microsoft 攻击还将 VoidProxy 用作第二阶段，使攻击者在通过 Kali365 获取身份验证令牌后，能够捕获凭据和会话 Cookie。

Push Security 表示，它在 2026 年 10 月下旬检测到并阻止了对恶意活动注册页面的访问。

该活动之前，ANY.RUN 在 7 月记录了一场类似活动，当时攻击者滥用合法的 Zoom 活动页面推广虚假的 Meta、OpenAI 和 Anthropic 活动，导致设备代码和 AiTM 钓鱼攻击。

Cofense 最近还报告了冒充 Anthropic 活动邀请的钓鱼邮件，这些邮件通过 GoTo Webinar 的电子邮件基础设施分发，并经由多个网站将收件人重定向到虚假注册页面。

虚假 AI 活动导致账户钓鱼

尽管尚不清楚攻击者最初如何分发钓鱼链接，但 Push Security 发现他们使用来自可信服务（包括 Google 和 Zapier URL 缩短器）的链接，将受害者重定向到恶意活动注册页面。

该活动早期版本的邀请也通过 GoTo Webinar 的电子邮件系统或合法的 Zoom 活动页面分发。

Push Security 表示，攻击者使用两个自定义钓鱼工具包（追踪为 ZoomMock 和 MSDRoot）创建虚假活动页面，然后将受害者引导至 Kali365 和 VoidProxy 钓鱼服务。

研究人员认为，同一批威胁行为者运营着这两个工具包，因为它们使用共享基础设施和相同的目标定位。

该活动冒充 OpenAI、SpaceX 和 Anthropic 主办的活动，其注册页面设计与合法活动网站相似。

其中一个钓鱼页面宣传一场名为 "ChatGPT for Social & Digital Marketing Teams" 的 OpenAI 活动，承诺向参与者提供三个月的 ChatGPT Pro。

另一个宣传 11 月 12 日的一场 SpaceX 私人活动，向注册者提供三个月的 Grok Heavy 或一份 "SpaceX 股份"。

研究人员还发现了一个冒充 AWS re:Invent 2026 上 Anthropic 活动的钓鱼页面，该页面已被下架。

这些虚假注册页面告诉访问者，他们必须使用工作账户登录才能注册并领取所宣传的奖励。

在显示虚假注册页面之前，网站会显示一个 Cloudflare CAPTCHA，要求 "确认你不是机器人"。这阻止了自动化安全平台扫描该钓鱼网站。

一旦访问者到达活动注册页面，他们会看到两个选项："Continue with Microsoft" 和 "Continue with Google"。

当受害者选择 Microsoft 选项时，钓鱼页面会联系 Kali365 平台，生成一个 Microsoft 设备身份验证代码。

设备代码钓鱼攻击发生在攻击者滥用合法的 OAuth 2.0 设备授权授予流程，为受害者的 Microsoft Entra 账户获取身份验证令牌时。

这随后可用于访问用户的资源和连接的 SSO 应用，例如 Microsoft 365、Salesforce、Google Workspace、Dropbox、Adobe、SAP、Slack、Zendesk、Atlassian 以及许多其他应用。

设备代码钓鱼攻击过去曾被用于数据窃取和网络间谍攻击。

访问者被指示复制代码并在 Microsoft 的合法设备登录网站上输入，在那里他们进行身份验证并批准该请求。

这使 Kali365 钓鱼平台能够在无需受害者直接披露密码的情况下窃取 Microsoft 身份验证令牌。

设备代码身份验证成功后，页面会将受害者重定向到 VoidProxy 的 Microsoft 登录页面，攻击者在那里还可以捕获受害者的密码和会话 Cookie。

当受害者选择 Google 身份验证选项时，钓鱼页面会改为打开一个包含 VoidProxy PhaaS 的 Google 登录页面的弹出窗口。

该平台作为中间人（AiTM）平台运行，位于受害者浏览器和 Google 登录页面之间，代理登录表单，并窃取凭据、MFA 响应和会话 Cookie。

Kali365 和 VoidProxy 平台都让攻击者能够绕过多因素身份验证——通过捕获已通过身份验证的会话，或在设备代码身份验证的情况下完全绕过 MFA。

为防范这些攻击，员工应避免输入由不熟悉的网站提供的 Microsoft 设备身份验证代码，并对要求使用企业账户登录以领取奖励的活动邀请保持警惕。

组织还可以在不需要的地方限制设备代码身份验证，并使用抗钓鱼的 MFA（如 FIDO2 安全密钥）来帮助防止会话劫持。