最近，一款名为 VoidProxy 的新型钓鱼即服务（PhaaS）平台被发现，其攻击目标包括微软 365 和谷歌账户，即便这些账户由 Okta 等第三方单点登录（SSO）服务商提供保护，也难以幸免。

该平台采用 AitM 攻击手段，可实时窃取用户凭据、多因素认证（MFA）验证码及会话 Cookie。VoidProxy 由 Okta 威胁情报团队发现，研究人员称其具备可扩展性强、规避性高且技术复杂的特点。

VoidProxy 攻击流程解析

1. 初始钓鱼邮件投递：攻击始于从已攻陷账户（多来自 Constant Contact、Active Campaign、NotifyVisitors 等邮件服务提供商）发送的钓鱼邮件，邮件中包含短链接——用户点击后会经过多次重定向，最终跳转至钓鱼网站。

2. 恶意网站伪装与防护：钓鱼网站托管在 .icu、.sbs、.cfd、.xyz、.top、.home 等低成本临时域名上，并通过 Cloudflare 隐藏真实 IP 地址。访问者首先会遇到 Cloudflare 的验证码（CAPTCHA）验证，此举既能过滤机器人流量，又能增强网站 " 合法性 "；同时，平台利用 Cloudflare Worker 环境过滤流量并加载页面。

在恶意网站上进行 Cloudflare 验证码步骤

3. 目标定向与页面展示：针对选定目标，平台会展示模仿微软或谷歌登录界面的钓鱼页面；其余非目标访问者则会被引导至无威胁的通用 " 欢迎 " 页面，以此降低被察觉的概率。

4. 凭据窃取与 SSO 绕过：若用户在钓鱼表单中输入凭据，请求会通过 VoidProxy 的 AitM 服务器代理至谷歌或微软的官方服务器；

由 VoidProxy 提供的钓鱼页面

对于使用 Okta 等 SSO 服务的联合账户，用户会被重定向至第二阶段钓鱼页面——该页面模仿微软 365 或谷歌的 Okta SSO 登录流程，相关请求同样被代理至 Okta 官方服务器。

5. 实时数据捕获与会话劫持：VoidProxy 的代理服务器在受害者与合法服务之间中转流量，同时捕获传输过程中的用户名、密码和 MFA 验证码；当合法服务生成会话 Cookie 时，平台会拦截该 Cookie 并创建副本，攻击者可直接在 VoidProxy 的管理面板中获取。

防护措施与建议

VoidProxy 的管理面板

Okta 指出，已启用 Okta FastPass 等 " 防钓鱼认证 " 功能的用户可抵御 VoidProxy 攻击，并会收到账户正遭受攻击的警告。

研究人员提出以下防护建议：

·仅限受管理设备访问敏感应用；

·启用基于风险的访问控制；

·对管理类应用采用 IP 会话绑定；

·要求管理员执行敏感操作时重新进行身份验证。