滥用 Google Apps Script 作为初始传递/重定向层的钓鱼链

威胁情报Z分析

2026年10月13日 08:28
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

为了看起来合法并减少被传统电子邮件安全控制检测到的可能性。

观察到的流程：

script[.]google[.]com/macros/s/AKfycbz9TPijgR8aU3W1yM2yimSruhRgk5Yn0pvsVZEDWJ2r4xSO97thYYxihmR5ma9N4Z1Z/exec

→ mmasunandrajat[.]com

→ ibtuxr641i[.]c4-explosive-workshops[.]de/l/dN8uUIAgPm0

→ login[.]microsoftonline[.]com/common/oauth2/deviceauth

一个假的 PDF/发票诱饵、文档准备页面、机器人验证、假的“共享文档”页面，以及最终输入到微软合法设备认证页面的验证码。

这强烈类似于 Microsoft OAuth 设备代码钓鱼。与其在假登录页面窃取凭据，攻击者诱骗受害者使用有效的设备代码授权攻击者发起的会话。如果完成，攻击者可能获得受害者 Microsoft 365 账户的有效认证令牌。