黑客蹭AI流量，钓的不是鱼是你

2026年安全圈流传一句私下话：最好用的0day，是别人愿意主动输入密码的那一刻。

最近GBHackers披露的三起攻击活动（案例一：仿冒AI广告钓鱼、案例二：假招聘投递恶意软件、案例三：机场Wi-Fi间谍行动），恰好凑成了一组对照组：仿冒ChatGPT、Claude、Gemini广告的钓鱼平台；假扮迪拜机场招聘者投递ShelbyLoader V2的国家级团伙；还有借机场Wi-Fi危机门户卷土重来的Midnight Blizzard子集群。三者目标不同、归属不同、技术栈也不同，但攻击入口高度一致——它们都没有碰任何漏洞，全部钻进了“正常业务流程”的缝隙里。

这不是巧合。当终端防护和漏洞管理逐渐补齐，攻击者的理性选择只剩一个：不攻破系统，而是让合法用户亲手把钥匙递过来。身份，正在取代漏洞，成为这个周期里最热的攻击面。

🎣 黑客开始给AI广告“投流”

一句金句：钓鱼的最高境界，是让你觉得自己在办正事。

想象一下一个广告投放优化师的日常：刷到一条ChatGPT广告，点进去是一个「账户连接」页面，提示只需绑定广告账户，就能用AI自动优化投放、降低花费。整个流程看起来像一次再正常不过的SaaS授权操作——没有赤裸裸的“请输入密码”，而是一个说得通的商业叙事。

这正是GBHackers披露的最新案例（原文：人工运营的仿冒AI广告钓鱼平台）：一个人工运营的钓鱼平台，批量仿冒主流AI产品的广告，专门针对广告从业者投放。它的技术核心是 Browser-in-the-Browser（BitB）：攻击者用网页技术在浏览器里“画”出一个浏览器窗口——带地址栏、带HTTPS锁图标、带登录框——受害者在真实页面里看到的“登录弹窗”，其实是像素级的戏台。传统的“先看一眼网址再输密码”习惯，在这里彻底失效。

更值得警惕的是它在MFA（多因素认证）上的处理。研究人员观察到，该平台不是简单地偷一个密码，而是实时操纵整个MFA工作流——密码、验证码、会话凭证逐级转发，让受害者的二次验证变成了攻击者的通行证。调查期间，研究人员已记录到数百名受害者的凭证提交，且攻击持续活跃（来源：GBHackers 披露，2026年10月）。

产业逻辑很清晰：AI是这个周期里信任浓度最高的品牌外衣。谁的业务离AI越近，谁就越容易成为这类“借壳钓鱼”的目标——而且被钓的往往不是普通用户，而是手里握着广告预算、客户账户和支付权限的高价值岗位。

💼 求职笔试，成了恶意软件的投递渠道

一句金句：当一个人的职业焦虑被精准命中，技术防线就退到了第二位。

第二个案例的剧本更具戏剧性：软件工程师收到一位“迪拜机场招聘官”的LinkedIn式邀约，附带一份编程测试题。对求职者来说，认真完成笔试是职业素养；对攻击者来说，这份“笔试”是精心 weaponize 的载荷。

追踪编号为 CL-STA-1178 的威胁行为体被评估为伊朗国家关联组织（来源：威胁情报披露，CL-STA-1178 归属评估）。其投递链的工程化程度不低：通过隐蔽的执行链部署 ShelbyLoader V2，并刻意滥用合法的微软开发工具和 GitHub 基础设施——编译器、构建流程、代码托管平台，全是开发者环境里天经地义的存在。对EDR而言，这些进程“长得太正常了”，告警阈值被合法工具的噪音天然稀释。

时间线上还有一条更冷的注脚：该组织还运营着代号 "Blinder Tunnel" 的行动，自2026年3月起针对伊拉克关键基础设施展开（来源：CL-STA-1178 关联行动追踪）。也就是说，“假招聘”不是一次性钓鱼，而是一个国家级组织持续性人员渗透战术的一部分。

产业逻辑：开发者是当代企业里权限最高、却最习惯“跑别人的代码”的人群。npm包、笔试仓库、构建脚本——供应链信任链上的每一环，都可以被反向武器化。招聘流程，从来没被当作安全边界来设计过。

✈️ 机场Wi-Fi：认证 portal 变成劫持 portal

一句金句：你连上的不是免费Wi-Fi，是一份匿名的情报收集授权。

第三个案例回到最古老的攻击面——公共网络。Midnight Blizzard 的子集群 Storm-2945 重启了代号 CaptiveCrunch 的间谍行动：滥用酒店与机场的 hospitality Wi-Fi 网络，在旅客设备上植入信息窃取木马，进而攻破其企业账户（来源：Storm-2945 / CaptiveCrunch 活动追踪）。

2026年10月5日的更新确认，9月29日已观测到新一轮活动，本轮部署了Rust语言编写的 CornFlake 变种，其工程特征与持续的AI辅助恶意软件研发相符（来源：2026年10月5日威胁情报更新）。换句话说，攻击者在用AI压缩变种迭代周期，让检测规则追不上样本演化。

三起事件放在一张时间线里看，节奏感会很强：

• 2026年3月：CL-STA-1178 的 "Blinder Tunnel" 行动启动，针对伊拉克关键基础设施
• 2026年9月29日：Storm-2945 恢复 CaptiveCrunch，部署 Rust 版 CornFlake
• 2026年10月5日：研究人员发布更新，确认活动重启并指出AI辅助开发特征
• 持续进行中：仿冒AI广告的钓鱼平台仍在收割，受害者提交已达数百人

产业逻辑：这批活动的共性是空间攻击 + 身份收割的组合。Captive portal 是用户被训练成“无条件信任”的界面——出差的人看到认证页就点确认。而 Midnight Blizzard 这类国家级团伙盯着的不只是个人隐私，而是借旅客设备横向进入企业身份体系的跳板。犯罪工具与间谍工具的界限，正在快速模糊。

📊 产业逻辑：从“打漏洞”到“打信任”

一句金句：攻击者已经完成了从撬锁到递钥匙的商业模式升级。

把三起案件抽象一下，会发现一条完整的产业规律：攻击面的重心，正从代码缺陷迁移到流程信任。仿冒AI广告利用的是“品牌+业务叙事”的信任；假招聘利用的是“招聘流程”的信任；Captive portal 利用的是“公共网络认证”的信任。三者共同点：没有任何一个需要0day，全部依赖社会工程加合法工具链。

这对防御侧是一个结构性打击。过去的安全投资逻辑是“更早发现漏洞、更快打补丁”，但当MFA工作流本身都能被实时代理，“有验证码就安全”的假设已经坍塌。据多位接近企业安全团队的人士反馈，BitB类页面在内部演练中的“上钩率”令不少CISO意外——因为员工自认为已经做对了所有事。

防御手段之间，价值分层已经清晰可见。按“对抗实时代理型钓鱼的有效性”从高到低排列：

🥇 领跑层（钓鱼抗性，凭证不可被假页面复用）

🥈 中坚层（大幅提高攻击成本，但需组合使用）

🥉 基础层（必要但不充分）

⚠️ 失效层（面对实时代理型攻击基本无效）

这张分层表里最扎眼的是最后一行：短信验证码是部署最广的MFA形态，却恰恰挡不住实时代理型攻击。领跑层的通行密钥和硬件密钥之所以价值高，是因为它们的验证绑定在设备和域上，钓鱼页面偷不走。

🛡️ 防御怎么补：把“流程”当攻击面来治理

一句金句：别再只问“系统有没有漏洞”，先问“我们的流程里哪些环节天然值得信任”。

落到实操层面，三起案例各给出一个必须补的口子。仿冒AI广告类攻击，考验的是浏览器侧的行为检测与品牌滥用监测；假招聘类攻击，考验的是开发者终端的“不可信代码”隔离策略；Captive portal类攻击，考验的是出差员工的网络接入策略。

对厂商而言，这里藏着一个正在放大的市场：钓鱼抗性认证、浏览器会话完整性检测、面向开发者的隔离执行环境、以及针对AI品牌滥用的反钓鱼监测。据业内流传的说法，已经有厂商把“检测BitB式伪窗口”列进了路线图——这条赛道此前几乎无人认真做，因为过去十年大家都在忙着管漏洞。

小结

三起活动，三种外衣，同一个内核：攻击者不再攻破系统，而是攻破流程里的信任假设。仿冒AI广告收割广告人，假招聘收割工程师，假Wi-Fi认证页收割出差旅客——每一把钥匙，都是用户在“办正事”时亲手递出的。

2026年的防御重心，需要从“更早发现漏洞”转向“重新审视哪些流程环节被默认信任”。通行密钥、设备绑定、隔离执行、会话级异常检测，会把身份安全市场推向新的增长曲线。而对每个普通人，最务实的一条建议仍然成立：输密码之前，先想想这个流程，凭什么值得你信任。

参考资料

1. GBHackers：人工运营的仿冒AI广告钓鱼平台披露（BitB + 实时MFA代理，数百名受害者）

2. GBHackers：CL-STA-1178（伊朗国家关联）假招聘投递 ShelbyLoader V2 分析

3. GBHackers：CL-STA-1178 关联行动 "Blinder Tunnel"（2026年3月起针对伊拉克关键基础设施）

4. GBHackers：Storm-2945 / CaptiveCrunch 机场与酒店Wi-Fi间谍行动追踪（2026年10月5日更新）

5. GBHackers：Rust版 CornFlake 变种与AI辅助恶意软件研发特征分析