紧急预警！APT组织UNC1151（代号Ghostwriter）大规模钓鱼围剿Gmail，验证码也能一键盗走

原创

AI紫队安全研究
AI紫队安全研究

AI紫队安全研究

2026年6月25日 11:59
广东

在小说阅读器读本章

去阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

2026年6月波兰网络安全应急中心CERT Polska发布重磅安全预警，长期活跃的APT组织UNC1151（代号Ghostwriter）开启新一轮高强度钓鱼攻势，本次攻击目标全面转向Gmail邮箱用户。不同于传统钓鱼只能窃取账号密码，这套新型诈骗页面可完整捕获短信、验证器生成的2FA二次验证码，一旦中招邮箱、社交、办公账号全线失守，公职人员、媒体从业者、科研人员是重点狩猎对象。

一、团伙与攻击背景：常年深耕定向凭证窃取
UNC1151（Ghostwriter）是长期活跃的情报窃取类威胁组织，多年持续针对东欧地区人群投放钓鱼邮件。往年该团伙主攻本土邮箱服务商，从2026年3月起，攻击重心全面转移至全球通用Gmail账号，工作日批量投放邮件，几乎每日更新恶意钓鱼域名，攻击强度大幅提升。

重点受害人群清单
攻击者精准筛选高价值目标，同步波及关联亲友、合作人员：

1. 政府公职、司法、执法机构工作人员
2. 记者、媒体、行业研究员、翻译、行业专家
3. 企业管理层、涉外办公人员
4. 上述人群的家属、社交联系人

即便攻击者猜不准完整邮箱地址，也会根据相似姓名批量群发，大量无关用户同样会收到风险邮件，覆盖范围极广。

二、完整诈骗流程：三步套取账号+双重验证码
整套社工话术逻辑成熟，层层制造焦虑压迫用户点击链接，全程无明显破绽：
Step1：伪造官方告警邮件施压
攻击者使用Gmail账号伪造谷歌安全通知发件人，邮件全部使用当地母语撰写，语句通顺无低级翻译错误，标题自带强警示关键词。
常见发件伪装与邮件主题：
发件：Mail Secure / 标题：Critical alert（紧急安全警报）
发件：Mailer Notification / 标题：新设备登录检测
发件：Support Security / 标题：账号可疑活动
发件：邮箱运维团队 / 标题：账号即将冻结

邮件核心套路：谎称异地陌生设备登录、账号存在违规行为，限定24–48小时内完成核验，逾期永久封禁邮箱，利用恐慌心理逼迫用户操作。
投递手段分两种：

1. 一对一精准发送，直接填写收件人完整邮箱；
2. 大量密送群发，隐藏全部收件人，降低用户警惕。

Step2：跳转高仿钓鱼页面
邮件内嵌短链接，跳转搭建在第三方静态平台的仿谷歌登录页，页面语言、排版、按钮完全复刻官方界面，普通人难以分辨。
恶意站点常见载体：

1. 专项注册钓鱼域名：mailverify.digital、verify-check.digital等小众后缀域名；
2. 滥用Netlify免费子域名：monitoring-google-konta.netlify.app；
3. 入侵正规企业网站，在不改动主页的前提下内嵌钓鱼页面，隐蔽性更强。

Step3：全套窃取账号+2FA验证码
钓鱼页面分两层表单，连环套取全部登录凭证：

1. 第一层输入框窃取Gmail完整账号、登录密码；
2. 第二层弹窗索要二次验证代码，无论是短信验证码还是谷歌验证器动态码，输入后全部同步上传攻击者后台。

拿到全套凭证后，攻击者会自动登录邮箱，翻阅通讯录、合同、涉密文档、各类平台绑定账号，批量接管社交、云盘、办公系统。

三、攻击者三大狡猾套路，极易踩坑

1. 多轮连环轰炸，反复施压
   若首次邮件未被点击，攻击者会在2天内连续发送多封同类告警，不断缩短“封禁倒计时”，从48小时压缩至24小时，持续制造紧迫感，提升受骗概率。即便上次链接被拦截，也会更换全新域名再次投递。
2. 频繁更换恶意域名，拦截难度高
   该团伙几乎每日上线全新钓鱼站点，不固定单一域名，大量使用免费静态建站平台、冷门域名后缀，传统网址黑名单很难全覆盖，邮件网关拦截容易出现漏报。
3. 复用被盗邮箱扩大传播
   除新建垃圾Gmail账号发信，攻击者还会入侵前期盗取的受害者邮箱，利用可信账号群发钓鱼邮件，收件人看到熟人发件人，信任度大幅提升，受骗风险翻倍。

四、4个一眼识别钓鱼邮件的核心特征

1. 发件存疑
   官方谷歌安全通知不会使用普通Gmail私人账号发送，但凡后缀为@gmail.com的“安全运维”邮件，全部为伪造。
2. 链接地址不对
   鼠标悬浮查看完整链接，真正谷歌登录域名仅为google.com，钓鱼页面多为.netlify.app、.digital等陌生地址。
3. 强制限时核验话术
   谷歌不会以“永久封禁”威胁用户紧急点外部链接核验，官方安全操作均需在myaccount.google官网内完成。
4. 索要二次验证码
   正规登录界面绝不会在第三方网页索要2FA动态码，但凡外部页面要求填写验证码，100%钓鱼。

五、个人&企业完整防护方案
个人用户操作指南

1. 分辨官方通知：所有账号安全检查，手动在浏览器输入myaccount.google.com进入，不点邮件内任何外链。
2. 开启进阶防护：优先使用硬件密钥替代短信、App二次验证，即便账号密码泄露，攻击者也无法登录。
3. 邮件处置规则：收到陌生“账号冻结、异地登录”告警，直接删除，切勿回复、点击链接。
4. 习惯自查：定期查看谷歌账号登录设备列表，下线陌生终端，及时修改邮箱密码。

企业/机构防护策略

1. 邮件网关策略：针对密送群发、陌生Gmail发件人、小众后缀链接增加告警拦截规则。
2. 全员安全培训：重点面向公职、媒体、科研岗位，科普高仿邮箱钓鱼识别方法。
3. 终端流量监控：限制终端访问Netlify等常被滥用的静态站点平台。
4. 应急处置流程：员工不慎泄露账号密码，第一时间修改密码、注销所有登录设备，排查邮箱内是否存在机密文件外泄。

结尾总结
当下APT钓鱼攻击早已突破“只偷密码”的局限，直接瞄准二次验证机制，哪怕开启双重验证，误点链接依旧会账号沦陷。尤其是公职、媒体等重点人群，长期接收各类业务邮件，更容易被伪装告警蒙骗。

遇到账号安全告警先冷静，不要被限时封禁的话术裹挟，认准官方域名，不随意点击陌生链接，才能守住邮箱里所有工作与个人敏感资料。
转发给身边使用海外邮箱的同事、亲友，规避账号被盗风险！

加入知识星球，可获取权益

一、\"全球高级持续威胁：网络世界的隐形战争\"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

想突破职业天花板的安全工程师/架构师；

需快速落地安全项目的企业负责人；

关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。