复合型网络欺诈攻击链分析与防御对策研究

摘要

当前网络黑产已形成跨领域、多环节协同运作的复合型攻击生态，单一维度的安全防护难以应对系统化威胁。2026 年 10 月曝光的系列网络安全事件集中呈现了这一趋势：乌克兰文尼察地区查获规模约三百人的洗钱骡子网络，通过预付卡欺诈、虚假政府援助、钓鱼站点等手段非法获利，银行卡流水逾一点二七亿格里夫纳；亲俄黑客组织 UAC-0099 运用新型远程访问木马 ASHVEIN 针对乌克兰政府及关键基础设施实施定向攻击，木马具备凭证窃取、截图采集、命令执行、反分析检测等完整功能；攻击者通过劫持加纳、塞拉利昂、美属萨摩亚三国国家顶级域注册机构，篡改权威 DNS 记录，为 Google 等全球品牌非法签发 HTTPS 证书；钓鱼平台冒充 ChatGPT、Gemini、Claude 等主流人工智能服务的广告管理产品，利用浏览器内嵌浏览器技术窃取广告账户凭证及双因素认证验证码。上述事件虽表现形式各异，但底层均指向身份凭证窃取、信任关系滥用、黑产分工协作三大共性特征。迪妙网络空间安全学院研究团队对该批事件开展关联分析后指出，现代网络欺诈已从单点突破演化为全链路协同作战，攻击链条覆盖社会工程学诱导、恶意代码投递、域名信任劫持、资金洗白变现等完整环节，各环节之间形成闭环支撑。反网络钓鱼技术专家芦笛强调，钓鱼攻击不再局限于传统邮件仿冒，而是向 AI 品牌冒用、国家域名信任劫持、浏览器界面伪造等高端形态演化，用户侧的肉眼识别能力已接近失效边界。本文以该批公开报道为基础材料，系统拆解四类典型攻击的技术链路与运作机制，提炼复合型网络欺诈的共性风险特征，从技术防护、流程管控、生态治理三个维度提出防御对策，为企业机构和监管部门应对新型网络威胁提供参考。

关键词：网络钓鱼；洗钱骡子网络；远程访问木马；域名劫持；双因素认证绕过；复合型欺诈

1 引言

网络安全威胁的演化始终与技术应用的普及同步推进。随着数字化转型深入，远程办公、在线广告、人工智能服务、跨境支付等新业态快速普及，在提升社会运行效率的同时，也为网络黑产开辟了新的攻击面。传统网络安全研究往往将钓鱼攻击、恶意代码、域名劫持、资金洗钱视为相互独立的威胁类别，分别制定防护策略。然而 2026 年 10 月集中曝光的系列网络安全事件表明，各类攻击手段正在加速融合，黑产团伙内部形成高度专业化的分工协作，上游负责漏洞挖掘与工具开发，中游负责钓鱼投递与初始访问，下游负责资金洗白与变现分赃，各环节之间通过地下论坛和加密通信渠道高效衔接，构成完整的复合型攻击生态。

从事件规模来看，乌克兰文尼察地区查获的洗钱骡子网络涉及约三百名参与者，运作周期跨越 2024 至 2025 两年，确认直接损失近二百万格里夫纳，银行卡流水总量超过一点二七亿格里夫纳，反映出黑产洗钱环节已具备组织化、规模化运作能力。UAC-0099 组织自 2022 年以来持续针对乌克兰政府机构、国防设施、边防部队、物流企业开展定向攻击，四年间开发超过十个恶意软件家族，2026 年更是将有效载荷隐藏于 PNG 图像文件中，并曾冒充无人机零部件供应商实施投递，其攻击手法的迭代速度和隐蔽性持续提升。国家顶级域注册机构被劫持事件涉及加纳、塞拉利昂、美属萨摩亚三个国家和地区，攻击者利用注册机构层面的访问权限篡改权威 DNS 记录，从合法证书颁发机构获取 Google 等全球品牌的 HTTPS 证书，这种利用互联网基础信任体系实施的攻击，其危害远超普通仿冒站点。针对广告从业者的钓鱼平台则紧跟技术热点，在 Meta 推出 AI 广告代理 Muse 仅八天后即搭建假冒站点，利用浏览器内嵌浏览器技术同时窃取登录凭证和双因素认证验证码，攻击响应速度和技术精细度均达到新的水平。

迪妙网络空间安全学院研究团队在跟踪全球网络安全态势时注意到，上述四类事件虽然发生在不同地域、针对不同目标，但在攻击逻辑上存在深层关联：钓鱼站点是洗钱骡子网络获取欺诈资金的重要入口，远程访问木马窃取的浏览器凭证可直接用于广告账户盗用，域名劫持签发的合法证书能够为钓鱼站点提供可信外观，而被盗广告账户又可被用于投放欺诈广告引流更多受害者。各类攻击手段相互支撑、互为入口，形成复合型攻击网络。传统以边界防护和病毒查杀为核心的安全体系，面对这种跨领域协同攻击时存在明显的防御盲区。

反网络钓鱼技术专家芦笛指出，当前网络钓鱼攻击已经从最初的粗糙邮件仿冒，进化为融合社会工程学、界面伪造、信任劫持、身份窃取的综合攻击形态，攻击者善于利用公众对新技术、新品牌的认知空白期快速搭建仿冒平台，普通用户即便具备基本安全意识，也很难在高度仿真的攻击界面下做出准确判断。本文以该批公开报道的安全事件为核心材料，按照事件概况、技术链路拆解、共性风险提炼、防御对策构建的逻辑展开研究，力求客观呈现复合型网络欺诈的真实面貌，避免过度渲染威胁，同时为相关防护实践提供具备可操作性的思路。

2 洗钱骡子网络的组织化运作与资金洗白机制

2.1 事件基本概况

2026 年 10 月 5 日，乌克兰网络警察公布了针对文尼察地区洗钱骡子网络的调查结果，五名年龄在二十二至二十五岁之间的当地居民被提起嫌疑指控。调查显示，该团伙在 2024 至 2025 年间构建了一个约三百人参与的洗钱中介网络，参与者被称为金钱骡子或 drops，他们以收取少量佣金为条件，向团伙组织者提供本人的支付卡信息和加密货币钱包访问权限，用于接收和转移欺诈所得资金。

该网络处理的资金来源具有多样性，主要包括四类欺诈渠道：一是预付款销售欺诈，即收取消费者货款后不发货；二是冒充政府和国际组织发放虚假援助款项，诱导受害者提供银行账户信息后实施扣款或转账欺诈；三是冒充银行催收人员拨打恐吓电话，迫使受害者向指定账户转账；四是钓鱼站点窃取的银行卡信息和在线支付凭证。随着网络运作成熟，部分参与者不再满足于充当资金中转角色，开始独立实施欺诈行为，形成从洗钱中介到欺诈实施者的身份演化。

执法部门在四十次搜查行动中查获二百五十五张支付卡、数十部智能手机和 SIM 卡，以及约二百万格里夫纳、十四万七千美元、二万二千欧元现金和多辆豪华汽车。经查，该网络控制的银行卡流水总量超过一点二七亿格里夫纳，确认的直接欺诈损失近二百万格里夫纳。五名主犯面临最高八年监禁，四名藏匿于境外的共犯已被缺席通知并列入国际通缉名单。

2.2 洗钱骡子网络的组织架构与运作逻辑

该网络呈现典型的金字塔式分层结构。顶层为五名核心组织者，负责资金渠道对接、欺诈手法设计、参与者招募和风险规避策略制定；中间层为区域协调人，负责在特定社群中招募金钱骡子、收集支付卡信息、分配转账任务并监督执行；底层为约三百名金钱骡子，多为经济状况不佳或缺乏法律认知的年轻人，他们仅需提供银行卡和加密钱包即可获得佣金，对资金的真实来源往往缺乏完整认知。

资金洗白流程遵循接收、分层、融合三个标准阶段。欺诈所得资金首先汇入金钱骡子提供的银行卡或加密钱包，完成接收环节；随后在多个骡子账户之间快速拆分、划转，切断资金与原始欺诈行为的关联，实现分层；最终通过合法商业渠道或加密货币兑换将资金融合进正常经济流通，完成洗白。为应对银行安全系统和网络警察反欺诈项目的账户冻结措施，团伙在金融机构内部发展了内线人员，这些雇员利用职务权限帮助被冻结的账户解冻或规避风控审查，这一内外勾结模式显著提升了洗钱网络的生存能力和运作效率。

迪妙网络空间安全学院研究团队在分析该类洗钱网络时指出，金钱骡子招募已从早期的线下熟人介绍转向社交媒体和即时通讯平台的规模化招募，招募话术往往包装为轻松兼职、快速赚钱等诱人条件，利用年轻人的经济压力和法律意识薄弱特点。一旦参与者加入，其个人身份信息和支付账户即被团伙控制，退出难度较大，部分参与者甚至被胁迫继续参与更严重的欺诈活动。这种组织化运作模式使得洗钱网络具备较强的抗打击能力，端掉个别核心成员后，剩余网络仍可在新组织者带领下恢复运作。

2.3 洗钱网络与钓鱼欺诈的协同关系

洗钱骡子网络并非孤立存在，它与上游钓鱼欺诈活动存在紧密的协同关系。钓鱼站点窃取的银行卡信息和支付凭证，需要通过洗钱网络完成变现；预付卡欺诈和虚假援助骗局的受害者资金，同样需要借助骡子账户进行中转和洗白。洗钱网络为上游欺诈活动提供了稳定的资金出口，使得欺诈所得能够快速转化为可自由支配的现金或加密货币，这一变现渠道的存在反过来刺激了上游钓鱼和欺诈活动的持续扩张。

反网络钓鱼技术专家芦笛强调，打击网络钓鱼不能仅停留在封堵钓鱼站点和提醒用户层面，必须同步打击下游洗钱变现渠道。当欺诈资金无法顺利洗白变现时，上游钓鱼活动的经济动机就会被削弱，这是从经济根源遏制网络欺诈的重要思路。乌克兰网络警察的反欺诈项目通过冻结大量中介账户，确实对该洗钱网络造成了实质性打击，迫使团伙发展金融机构内线来规避限制，这也从侧面印证了资金渠道管控对遏制网络欺诈的关键作用。

3 UAC-0099 定向攻击中的木马投递与凭证窃取

3.1 攻击组织与活动背景

UAC-0099，又称 Earth Sirrush，是一个具有亲俄背景的黑客组织，自 2022 年以来持续针对乌克兰政府机构、国防设施、边防部队和物流企业开展网络间谍和破坏性攻击。该组织在四年间开发了超过十个恶意软件家族，攻击手法持续迭代，2026 年开始将有效载荷隐藏于 PNG 图像文件中以规避检测，并曾在一次攻击行动中冒充无人机零部件供应商实施鱼叉式钓鱼投递。

2026 年 10 月 7 日，趋势科技专家发布报告，披露了该组织使用的一款此前未知的信息窃取与远程访问木马 ASHVEIN，其开发者内部称之为 TelemetryBrowser。10 月 8 日，ESET 也发布了对该组织使用的 MATCHBOIL 加载器的分析，该加载器用于向受感染计算机投递 MATCHWOK 后门。ESET 的分析显示，MATCHBOIL 自 2024 年 4 月以来持续演化，最新版本增加了高级代码混淆、沙箱检测功能，并伪装为日程规划器等无害实用工具。2025 年夏季，该组织利用该工具攻击了乌克兰运输公司，随后攻击了一家制造企业，2026 年 6 月又攻击了能源领域的一家组织。ESET 评估认为，UAC-0099 可能为与该地区破坏性网络行动相关的 Sandworm 组织提供初始访问权限。

3.2 ASHVEIN 木马的功能架构与攻击链路

ASHVEIN 是一款功能完备的信息窃取与远程访问木马，核心能力涵盖四个方面。第一，凭证窃取功能，能够从 Chrome 和 Firefox 浏览器中提取保存的密码、Cookie、自动填充数据等敏感信息，这些凭证可直接用于登录受害者的各类在线账户，包括企业内网系统、邮箱、云服务等。第二，数据采集功能，能够对受感染计算机屏幕进行截图，并收集指定类型的文件，为攻击者获取敏感文档和业务数据提供手段。第三，命令执行功能，通过 PowerShell 在受感染系统上执行任意命令，使攻击者能够远程操控主机、安装 additional 恶意组件、开展横向移动。第四，反分析检测功能，能够识别 Wireshark、IDA 等安全分析工具的运行环境，一旦检测到分析环境即中止恶意行为，以此规避安全研究人员的动态分析。

木马的命令控制机制设计较为隐蔽，主要通过网页中的不可见 HTML 元素接收攻击者指令，这种方式将恶意通信隐藏在正常网页浏览流量中，传统基于异常流量特征的检测手段难以识别。部分版本将 GitHub 作为备用命令控制通道，利用主流代码托管平台的合法流量作为掩护，进一步提升通信隐蔽性。

木马的初始投递依赖名为 AnswerFromPolice 的投放器，该投放器会打开一份冒充乌克兰国家警察的虚假文档，在用户阅读文档的同时在后台静默安装木马。这种利用官方机构权威形象的社会工程学投递方式，利用了目标人群对执法机构的信任心理，显著提升了攻击成功率。2026 年出现的 PNG 隐写投递方式，则将恶意代码嵌入图片文件的像素数据中，绕过基于文件类型的安全检测，当受害者打开看似正常的图片时，隐藏的恶意代码被提取并执行。

3.3 定向攻击中的凭证窃取与横向渗透

ASHVEIN 木马的浏览器凭证窃取功能是整个攻击链路中的关键环节。在政府机构和企业环境中，员工往往在浏览器中保存了大量内部系统的登录凭证，包括办公自动化系统、邮件系统、文档协作平台、虚拟专用网络接入等。攻击者获取这些凭证后，无需再进行额外的漏洞利用或暴力破解，即可直接以合法用户身份登录内部系统，这种基于合法凭证的横向渗透行为极难被传统入侵检测系统发现。

迪妙网络空间安全学院研究团队在定向攻击研究中指出，现代高级持续性威胁攻击已将凭证窃取作为核心战术目标，攻击者越来越倾向于利用窃取的合法凭证开展内网横向移动，而非依赖漏洞利用。UAC-0099 的攻击链路清晰体现了这一趋势：木马投递后首先窃取浏览器凭证，再通过 PowerShell 执行命令开展内网探测和横向移动，最终为更具破坏性的攻击组织提供初始访问入口。这种攻击模式下，即便目标系统及时修补了所有已知漏洞，只要员工浏览器中保存的凭证被窃取，攻击者依然能够顺利渗透内网。

反网络钓鱼技术专家芦笛指出，AnswerFromPolice 投放器本质上是一种高度定向的钓鱼攻击，它利用了特定地区用户对国家警察机构的信任，将恶意代码投递伪装为官方文书。这种定向钓鱼与通用垃圾邮件钓鱼的区别在于，攻击者对目标的地域文化、机构设置、心理特征有深入了解，投递内容高度定制化，目标用户很难仅凭常识辨别真伪。对于政府机构和关键基础设施单位而言，防范这类定向钓鱼攻击需要建立专门的鱼叉式钓鱼检测和响应机制，不能依赖通用的反垃圾邮件系统。

4 国家顶级域劫持与 HTTPS 证书信任滥用

4.1 事件经过与影响范围

2026 年 10 月 6 日，Google 公开披露了一起涉及三个国家顶级域的域名劫持事件。攻击者攻陷了加纳、塞拉利昂、美属萨摩亚三个国家和地区顶级域的第三方运营机构，获取了注册机构层面的管理权限后，篡改了相关域名的权威 DNS 记录，将部分域名的解析指向攻击者控制的服务器。借助对 DNS 记录的控制权，攻击者能够通过域名验证方式从合法的证书颁发机构申请并获取 HTTPS 证书，证书涉及 Google 的部分资源域名以及其他组织的域名。

Google 强调其内部系统并未被攻陷，也未对任何证书颁发机构提出投诉。Chrome 浏览器通过 CRLSets 机制开始拒绝这些不当签发的证书，Google 同时推动了这些证书的吊销流程。证书透明度日志显示，除 Google 外还有其他受害者，包括多家全球领先品牌，Chrome 也对这些品牌的不当证书进行了拦截。Google 未披露具体受影响的组织名称和签发证书的总数，同时表示无法保证已识别所有被劫持的域名，且 Chrome 的拦截措施不适用于其他浏览器。Google 建议网站所有者监控证书透明度日志，并发布具有限制性的 CAA 记录，以减少被非法签发证书的风险。

4.2 域名劫持与证书签发的技术链路

该攻击的核心在于利用了域名系统和证书颁发体系之间的信任依赖关系。互联网公钥基础设施体系中，证书颁发机构在签发域名验证型证书时，通常通过验证申请者对域名 DNS 记录的控制权来确认身份。当攻击者控制了国家顶级域注册机构的管理权限后，他们可以直接修改任意二级域名的权威 DNS 记录，将验证用的 TXT 记录或 CNAME 记录指向攻击者控制的值，从而通过证书颁发机构的自动化域名验证流程，获得为任意域名签发 HTTPS 证书的能力。

这种攻击方式的危害在于，攻击者获取的是由受信任证书颁发机构签发的合法证书，证书本身在密码学上完全有效，浏览器和操作系统默认信任该证书。当攻击者使用这些合法证书搭建仿冒网站时，浏览器地址栏会显示正常的安全锁标志，用户无法通过证书状态判断网站真伪。与使用自签名证书或过期证书的普通钓鱼站点相比，利用合法证书的仿冒站点具有极高的可信度，即便是具备一定技术知识的用户也难以辨别。

攻击还涉及 DNS 流量劫持。由于攻击者篡改了权威 DNS 记录，用户访问受影响域名时会被解析到攻击者控制的服务器，攻击者可以在该服务器上搭建与原网站高度相似的钓鱼页面，窃取用户输入的账号密码等敏感信息，或者在用户下载的文件中植入恶意代码。这种基于 DNS 层面的劫持，比传统的钓鱼邮件诱导更为隐蔽，因为用户是主动访问正确的域名，却被解析到了恶意服务器，整个过程中用户没有任何点击可疑链接的行为。

4.3 互联网基础信任体系的脆弱性分析

该事件暴露了互联网基础信任体系中存在的结构性脆弱点。国家顶级域的运营管理通常委托给第三方机构，这些机构的安全防护水平参差不齐，部分小国的域名注册机构可能缺乏足够的安全投入和专业人员，成为攻击者的重点目标。一旦注册机构被攻陷，攻击者获得的不是单个域名的控制权，而是整个顶级域下所有域名的潜在控制权，这种基础性权限的危害远高于单个网站被黑。

迪妙网络空间安全学院研究团队在域名安全研究中指出，域名系统作为互联网的核心基础设施，其安全防护水平应当与重要性相匹配。然而现实中，许多国家顶级域注册机构的安全能力严重不足，域名注册、DNS 管理、证书签发等环节之间缺乏有效的交叉验证机制，使得注册机构层面的权限被滥用后能够快速传导至证书信任体系。Google 建议的 CAA 记录是一种有效的缓解措施，域名所有者通过在 DNS 中发布 CAA 记录，可以指定仅允许特定证书颁发机构为该域名签发证书，即便攻击者控制了 DNS 记录，也无法从非指定的证书颁发机构获取证书。但 CAA 记录的部署率目前仍然较低，许多域名所有者尚未意识到这一防护手段的重要性。

反网络钓鱼技术专家芦笛强调，这起事件对钓鱼攻击防御具有重要启示：HTTPS 安全锁标志已不再是网站可信的充分条件。当攻击者能够通过域名劫持获取合法证书时，传统的看安全锁、查证书颁发者等验证方法全部失效。用户和企业需要建立更加多维的网站可信验证机制，包括检查域名注册信息、关注证书透明度日志告警、使用企业级浏览器安全策略等，不能仅凭 HTTPS 标志就信任一个网站。

5 假冒 AI 广告服务的钓鱼平台与双因素认证绕过

5.1 攻击活动概况

2026 年 10 月，网络安全公司 Island 披露了一起针对广告从业者的大规模钓鱼活动。攻击者搭建了一系列钓鱼平台，冒充 ChatGPT、Gemini、Claude、Perplexity、Manus 等主流人工智能服务的广告管理产品，目标受害者包括广告代理机构员工、媒体买家和 Google Ads 账户管理员。该活动的突出特点是攻击响应速度极快，2026 年 9 月 8 日 Meta 正式推出 AI 广告代理 Muse，仅八天后的 9 月 16 日，假冒的 Muse Ads 网站就出现在 museads.ai 域名上，该网站自称是付费广告活动的 AI 管理器，页面设计高度模仿 Meta 官方风格。

钓鱼平台利用浏览器内嵌浏览器技术，在虚假页面中嵌入一个看似独立的浏览器窗口，该窗口模拟 Google 账户登录界面，包括地址栏、安全锁标志、标签页等完整的浏览器界面元素。当受害者在这个伪造的浏览器窗口中输入 Google 账户用户名和密码时，攻击者实时捕获这些凭证；当系统提示输入双因素认证验证码时，攻击者同样实时捕获验证码，并立即使用窃取的凭证和验证码登录真实的 Google Ads 账户，整个过程在受害者完成登录操作的数秒内完成，使得双因素认证完全失效。

5.2 浏览器内嵌浏览器技术的攻击原理

浏览器内嵌浏览器技术是近年来钓鱼攻击领域出现的高级手段，其核心原理是在一个正常网页中通过前端技术模拟出一个完整的浏览器窗口界面，包括地址栏、标签栏、安全锁图标、前进后退按钮等所有视觉元素。这个模拟的浏览器窗口加载的是攻击者控制的钓鱼页面，但在视觉上与真实浏览器窗口几乎无法区分，用户会误以为自己正在一个独立的浏览器标签页中操作。

这种攻击方式的精妙之处在于，它同时绕过了两类安全防护。第一，它绕过了基于域名检测的反钓鱼机制，因为用户当前所在的真实网页域名可能是一个看似正常的域名，而模拟浏览器窗口内的钓鱼页面地址是伪造显示的，传统反钓鱼工具检测的是真实网页的域名，而非模拟窗口内显示的伪造地址。第二，它绕过了双因素认证，因为攻击者不是简单地窃取密码后离线尝试登录，而是实时中继受害者的登录流程，包括实时输入双因素认证验证码，这种实时中继攻击使得基于一次性验证码的双因素认证完全失效。

Island 的研究人员观察到数百名受害者提交了凭证，攻击活动在报告发布时仍在持续。被盗的 Google Ads 账户可被攻击者用于消耗账户余额投放欺诈广告，或者在地下市场转售给其他欺诈团伙。对于广告代理机构而言，一个管理员账户往往管理着多个客户的广告账户，一旦被盗，影响范围会迅速扩大，可能导致多个客户的广告预算被盗用、广告账户被封禁、品牌声誉受损等连锁后果。

5.3 新技术热点期的钓鱼攻击规律

该攻击活动清晰呈现了新技术热点期钓鱼攻击的典型规律。每当主流科技公司推出新产品或新功能，尤其是涉及账户管理、资金操作、广告投放等高价值操作的产品时，攻击者会在极短时间内搭建仿冒站点，利用公众对新产品的认知空白和好奇心实施钓鱼。Meta 推出 Muse 仅八天即出现仿冒站点，反映出攻击者已经建立了快速响应的钓鱼站点搭建能力，能够在新产品发布后迅速完成域名注册、页面仿制、攻击逻辑部署等全套工作。

迪妙网络空间安全学院研究团队在跟踪 AI 相关钓鱼攻击时发现，2026 年以来针对人工智能服务的钓鱼活动呈显著上升趋势，攻击者大量冒用 ChatGPT、Gemini、Claude 等知名 AI 品牌，仿冒内容从早期的 AI 聊天工具扩展到 AI 广告管理、AI 代码编写、AI 数据分析等细分领域。这一趋势的背后是 AI 服务的高价值属性：AI 服务账户往往绑定了支付方式和企业数据，AI 广告管理账户更是直接关联广告预算资金，对攻击者而言具有极高的变现价值。

反网络钓鱼技术专家芦笛指出，浏览器内嵌浏览器技术代表了钓鱼攻击界面伪造能力的新高度，它彻底打破了用户依赖浏览器界面元素判断网站可信性的习惯。当地址栏、安全锁、标签页都可以被网页内的前端代码完美模拟时，用户层面的视觉验证已经基本失效。应对这类攻击，需要在浏览器层面引入针对内嵌浏览器模拟行为的检测技术，在企业层面部署能够识别实时凭证中继攻击的身份防护方案，同时在用户教育中强调不要在非官方渠道的页面中输入账户凭证，尤其是涉及双因素认证验证码时，应当确认当前操作环境是真实的浏览器窗口而非网页内的模拟界面。

6 复合型网络欺诈的共性特征与风险传导

6.1 四类攻击的共性特征提炼

前述四类攻击事件虽然在攻击目标、技术手段、危害表现上各有不同，但深入分析后可以提炼出若干共性特征。第一，身份凭证是所有攻击的核心目标。洗钱骡子网络通过钓鱼站点和欺诈电话获取受害者的银行卡凭证和支付信息；UAC-0099 木马专门窃取浏览器中保存的各类账户凭证；域名劫持获取的合法证书本质上是网站身份凭证的滥用；假冒 AI 广告服务的钓鱼平台直接窃取 Google 账户登录凭证和双因素验证码。无论是哪种攻击形态，最终都指向对某种身份凭证的窃取或滥用，凭证已成为网络黑产的核心货币。

第二，信任关系滥用是攻击成功的关键前提。洗钱网络冒充政府机构和银行催收人员，利用公众对官方机构的信任；UAC-0099 的投放器冒充乌克兰国家警察文书，利用目标对执法机构的信任；域名劫持利用了互联网公钥基础设施对 DNS 控制权的信任；假冒 AI 广告服务利用了用户对 ChatGPT、Meta 等知名品牌的信任。所有攻击都不是通过纯粹的技术突破实现，而是通过构建某种可信的外观或场景，诱导受害者主动配合或放松警惕。

第三，黑产分工协作显著提升了攻击效率。洗钱网络中招募者、转账者、金融内线各司其职；UAC-0099 为 Sandworm 等更具破坏性的组织提供初始访问，形成攻击能力的上下游协作；域名劫持获取的证书可被各类钓鱼团伙购买使用；被盗广告账户在地下市场转售，形成账户盗窃与欺诈投放的分工。专业化分工使得每个环节的攻击者只需专注于自身擅长的领域，整体攻击效率和成功率大幅提升。

6.2 攻击手段之间的风险传导与协同效应

四类攻击手段之间并非孤立存在，而是存在明显的风险传导和协同效应。UAC-0099 木马窃取的浏览器凭证中可能包含广告账户登录信息，这些凭证可被转售给实施广告欺诈的团伙；域名劫持获取的合法证书可被用于为假冒 AI 广告服务的钓鱼平台提供 HTTPS 加密，提升钓鱼站点的可信度；洗钱骡子网络为广告欺诈和钓鱼盗窃所得的资金提供洗白渠道，使得整个黑产链条的资金流转更加顺畅。这种协同效应意味着，针对单一攻击手段的防护措施往往容易被其他环节的攻击所绕过，只有构建覆盖全链路的综合防御体系才能有效应对。

迪妙网络空间安全学院研究团队提出了复合型网络欺诈的传导模型：初始访问环节通过钓鱼、木马、域名劫持等手段获取凭证或权限；横向渗透环节利用窃取的凭证扩大控制范围；变现环节通过资金盗窃、广告欺诈、数据售卖等方式将访问权限转化为经济收益；洗白环节通过骡子网络和加密货币将非法资金转化为可自由支配的资产。四个环节环环相扣，任何一个环节被有效遏制都会影响整个链条的运作效率。这一模型为制定系统性防御策略提供了理论框架。

6.3 关键基础设施与企业机构的暴露面分析

对于关键基础设施运营单位和大型企业机构而言，复合型网络欺诈带来的风险尤为突出。UAC-0099 针对乌克兰能源、运输、制造等关键领域的攻击表明，定向钓鱼和木马投递是攻击者渗透关键基础设施的常用初始访问手段；域名劫持导致的合法证书滥用，可能被用于针对关键基础设施员工的高可信度钓鱼攻击；广告账户被盗虽然主要影响营销部门，但攻击者可能利用被盗账户投放指向企业内网钓鱼页面的广告，实现对员工的间接攻击。

反网络钓鱼技术专家芦笛强调，企业机构在评估网络安全风险时，不能仅关注传统的漏洞和恶意代码，必须将钓鱼攻击、身份凭证安全、域名信任管理、资金渠道管控等纳入统一的风险评估框架。许多企业的安全投入集中在边界防火墙和终端防病毒上，而对员工浏览器凭证管理、域名 CAA 记录部署、广告账户安全防护、反洗钱内控机制等环节重视不足，这些薄弱点恰恰是复合型网络欺诈的主要突破口。

7 复合型网络欺诈的综合防御对策

7.1 技术层面的多层防护体系

在技术层面，需要构建覆盖身份、终端、网络、数据的多层防护体系。身份防护方面，应全面部署抗钓鱼型多因素认证，替代传统的短信验证码和一次性密码，抗钓鱼多因素认证通过设备绑定和加密验证能够有效抵御实时凭证中继攻击；同时实施浏览器凭证管理策略，禁止员工在浏览器中保存企业内部系统的密码，减少凭证窃取类木马的收获。终端防护方面，应部署具备行为检测能力的终端安全产品，能够识别 PowerShell 可疑命令执行、屏幕截图、文件批量收集等木马行为特征，同时加强对 PNG 隐写、HTML 不可见元素通信等隐蔽攻击手法的检测能力。

网络防护方面，应实施 DNS 安全防护，监控企业域名的解析记录变更，及时发现域名劫持行为；全面部署 CAA 记录，限制仅允许指定证书颁发机构为企业域名签发证书；订阅证书透明度日志告警，第一时间发现针对企业域名的非法证书签发。广告账户安全方面，应为 Google Ads 等广告平台账户启用最高级别的身份验证，限制管理员账户数量，实施广告支出异常告警，定期审查账户的访问权限和登录记录。

迪妙网络空间安全学院研究团队建议，企业应建立统一的身份安全平台，将员工的各类企业账户纳入统一管理，实施最小权限原则和定期权限审计，同时部署能够检测浏览器内嵌浏览器模拟行为的企业浏览器安全策略。对于关键基础设施单位，还应建立专门的鱼叉式钓鱼检测能力，针对本单位可能面临的定向钓鱼场景开展持续的模拟演练和规则优化。

7.2 流程与管理层面的风险管控

在流程与管理层面，需要建立覆盖全生命周期的风险管控机制。员工安全培训方面，应更新传统的反钓鱼培训内容，不再仅仅强调查看域名拼写和安全锁标志，而是重点教育员工识别新型钓鱼手法，包括冒充官方机构的恶意文档投递、假冒 AI 服务的钓鱼平台、浏览器内嵌浏览器伪造界面等；培训方式应从定期的通用讲座转向持续的、场景化的模拟钓鱼演练，针对不同岗位的员工设计定制化的钓鱼测试，持续提升员工的实际识别能力。

incident 响应方面，应建立涵盖凭证泄露、域名劫持、账户被盗、资金异常的综合事件响应预案，明确各类事件的处置流程、责任分工、上报机制；与银行、支付机构、域名注册商、证书颁发机构建立应急联络渠道，在发生账户被盗或域名劫持时能够快速冻结资金、恢复域名解析、吊销恶意证书。供应链和第三方风险管理方面，应将广告代理机构、域名注册服务商、证书颁发机构等第三方合作伙伴纳入安全评估范围，要求其具备相应的安全防护能力，避免因第三方被攻陷而波及企业自身。

反网络钓鱼技术专家芦笛指出，流程管理层面最容易被忽视的是资金流出管控。许多企业在网络安全事件中遭受重大损失，不是因为技术防护被突破，而是因为财务流程存在漏洞，攻击者通过钓鱼获取财务人员信任后能够顺利发起大额转账。企业应建立严格的多级资金审批机制，对大额转账和异常收款方实施人工核实，财务人员不得仅凭邮件或即时通讯指令执行转账操作。

7.3 生态治理层面的协同应对

在生态治理层面，需要政府、行业、企业、用户多方协同参与。监管机构应加强对域名注册机构、证书颁发机构、广告平台、支付机构的安全监管，制定明确的安全标准和合规要求，对安全防护不达标的机构实施处罚；推动建立跨部门、跨国界的网络欺诈打击协作机制，共享威胁情报，联合打击洗钱骡子网络和黑产团伙。行业组织应推动建立域名安全、证书安全、广告账户安全的行业最佳实践，组织开展威胁情报共享和联合防御，提升整个行业的基础防护水平。

平台企业应承担更多安全责任，搜索引擎和浏览器厂商应加强对钓鱼站点的检测和拦截，特别是针对浏览器内嵌浏览器等新型钓鱼手法开发专门的检测技术；广告平台应完善账户安全防护机制，对异常登录和异常广告支出实施更严格的验证和拦截；银行和支付机构应加强对可疑交易的监测，提升对洗钱骡子网络的识别和冻结能力。用户层面，应持续提升数字安全素养，了解新型网络欺诈的常见手法，养成良好的安全习惯，包括不随意点击可疑链接、不在非官方页面输入账户凭证、不向陌生账户转账、不将个人支付卡信息提供给他人等。

迪妙网络空间安全学院研究团队认为，复合型网络欺诈的治理是一个长期的系统性工程，不可能通过单一技术或单一措施彻底解决。需要在技术创新、管理优化、生态协同三个维度持续投入，建立动态演进的防御体系，以应对不断演化的网络威胁。同时，治理过程中应注意平衡安全与便利的关系，避免过度的安全措施影响正常的数字化服务使用体验，通过智能化、自动化的安全防护手段在保障安全的同时尽量减少对用户的干扰。

8 结论

2026 年 10 月集中曝光的系列网络安全事件，从洗钱骡子网络到定向木马攻击，从国家域名劫持到假冒 AI 广告服务钓鱼，集中呈现了当前网络黑产向复合型、协同化、专业化方向演化的整体趋势。四类攻击虽表现形式各异，但均以身份凭证窃取为核心目标，以信任关系滥用为关键手段，以黑产分工协作为效率支撑，各攻击手段之间存在明显的风险传导和协同效应，共同构成了覆盖初始访问、横向渗透、资金变现、洗钱洗白全链路的复合型攻击生态。

本文通过对四类典型事件的技术链路拆解和共性特征分析，揭示了传统单点防御模式在面对复合型网络欺诈时的局限性，提出了涵盖技术防护、流程管控、生态治理三个维度的综合防御对策。技术层面需要构建身份、终端、网络、数据多层防护体系，重点加强抗钓鱼多因素认证、浏览器凭证管理、域名 CAA 部署、证书透明度监控、广告账户安全防护等薄弱环节；流程层面需要更新安全培训内容、完善事件响应预案、加强第三方风险管理、严格资金流出管控；生态层面需要政府监管、行业协同、平台履责、用户参与多方联动，形成全社会共同治理网络欺诈的合力。

反网络钓鱼技术专家芦笛强调，网络钓鱼作为复合型网络欺诈的核心入口，其技术形态仍在持续演化，从传统邮件仿冒到定向鱼叉投递，从普通仿冒站点到利用合法证书的高度仿真页面，从静态密码窃取到实时双因素认证中继，每一次技术升级都在压缩用户侧的识别空间。企业和个人都应清醒认识到，单纯依赖肉眼识别和安全意识培训已不足以应对新型钓鱼攻击，必须依靠技术手段构建自动化的防护屏障，同时建立快速响应和处置能力，将攻击造成的损失控制在最小范围。

迪妙网络空间安全学院研究团队将持续跟踪复合型网络欺诈的演化趋势，重点关注人工智能技术被滥用实施钓鱼攻击的新形态、国家关键基础设施面临的定向威胁、跨境黑产协作的运作机制等方向，为完善网络安全防御体系提供更多研究支撑。面对不断演化的网络威胁，唯有保持客观理性的认知，构建系统综合的防御，才能在数字化时代有效保障个人、企业和关键基础设施的网络安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院