借助F5 BIG-IP APM和Distributed Cloud Bot Defense，保护MFA免受网络钓鱼代理攻击

F5生态系统 | 2025年1月09日

通过双重身份验证（2FA）保护用户账户的企业，还应进一步防范实时网络钓鱼代理。此类代理可帮助犯罪分子绕过多重身份验证（MFA）措施并接管账户。F5 BIG-IP Access Policy Manager (APM)客户可以轻松添加F5 Distributed Cloud Bot Defense，从而有效阻断此类代理。

“通过部署Distributed Cloud Bot Defense，用户可以防范利用自动化手段绕过MFA防护的实时网络钓鱼代理攻击。”

什么是实时网络钓鱼代理？

实时网络钓鱼代理攻击始于通过短信、电子邮件或网页发送的网络钓鱼消息。该消息包含一个链接，会将用户引导至攻击者控制的域名；该域名旨在将所有请求代理到目标应用。从用户的角度看，除域名外，一切似乎都合法，而攻击者通常会选择与真实域名高度相似的域名。

用户受网络钓鱼代理蒙骗后，会输入自己的凭据。对于单因素身份验证，攻击者仅凭这些凭据即可访问该账户。对于双因素身份验证，实时网络钓鱼代理会将凭据发送到合法应用，从而触发双因素身份验证请求。遗憾的是，用户仍以为自己正在与合法应用交互，很可能会继续完成双因素身份验证，并同意收到的任何请求。

反向网络钓鱼代理几乎可以攻破所有形式的双重身份验证：

基于短信服务（SMS）的双重身份验证。 在短信双重身份验证中，身份验证系统会向用户发送一条包含一次性密码（OTP）的短信，用户需将该密码输入应用。在网络钓鱼代理攻击期间，用户会将密码直接输入恶意应用，后者随后将其转发至合法应用，使犯罪分子获得访问权限。通过电子邮件发送OTP时，同样的逻辑也适用于双重身份验证。如果该机制要求用户在应用中输入OTP，实时网络钓鱼代理攻击便可获取该OTP。
硬件令牌2FA。硬件令牌是一种实体设备，可按照加密算法以固定时间间隔生成密钥，其作用与基于SMS的2FA中的OTP相同。用户查看设备，并将密钥输入应用程序。如果用户受实时网络钓鱼代理欺骗，将该密钥输入恶意应用程序，攻击者便可访问相应账户。从某种意义上说，无论通过SMS、电子邮件还是硬件提供令牌，对实时网络钓鱼代理而言都没有区别。（相比之下，FIDO2/U2F硬件密钥可抵御网络钓鱼，因为浏览器会与硬件密钥协同进行来源绑定。）
基于应用的双重身份验证。Google Authenticator和Duo Mobile等移动身份验证器应用生成令牌的方式与硬件设备非常相似。同样，用户需要在应用中输入令牌。如果用户受骗将令牌输入恶意应用，攻击者便可访问真正的应用。
基于推送的双重身份验证。任何需要用户在应用中输入一次性密码（OTP）的双重身份验证机制，都可能因用户受骗而将OTP输入恶意应用，进而遭到破解。那么，无需用户在应用中输入OTP的基于推送的双重身份验证又如何呢？在基于推送的系统中，应用收到登录请求后，会向推送通知系统发起请求，随后用户会在移动设备上收到通知。用户只需点击一次即可接受请求。之后，推送通知系统会通过API回调应用，表明推送身份验证已成功；应用随即完成身份验证流程，并授予用户访问权限。在这种情况下，令牌会直接传递给应用，因此网络钓鱼代理始终无法收到令牌。尽管如此，犯罪分子仍能访问该账户，因为应用最终会通过代理将经过身份验证的会话令牌传递给应用，使攻击者能够截获该令牌，并冒用受害者身份访问应用。

实时网络钓鱼代理即服务

实时网络钓鱼代理攻击可能会增加，因为网络钓鱼代理即服务（PhaaS）（例如EvilGinx、Muraena和Modlishka）为犯罪分子提供了发起此类攻击所需的一切，使攻击变得异常容易：

诱骗用户访问恶意网站的网络钓鱼邮件模板
用于仿冒目标应用的托管Web服务器
用于存储被盗凭据的数据库
实时监控
阻挠安全研究人员的防御机制
文档和客户服务

Distributed Cloud Bot Defense如何缓解实时网络钓鱼代理攻击

通过网络钓鱼代理的流量具有明显特征：域名与真实网站不一致，HTML和JavaScript可能会为适应域名变化而被修改，时序和TLS签名也可能发生变化。Distributed Cloud Bot Defense利用许多同样用于区分机器人与真人的客户端和网络信号，可以检测出实时网络钓鱼代理特有的异常，从而应对MFA面临的一种常见威胁。