- 黑客利用假冒OpenAI、SpaceX和Anthropic活动邀请诱导员工遭受钓鱼攻击。
- Push Security于2026年10月底在客户浏览器上拦截了访问假冒注册页面的请求。
- 这些页面使用Kali365实施Microsoft设备代码钓鱼，使用VoidProxy实施Google反向代理钓鱼。
这些页面要求访客使用工作账户登录，以领取奖励，包括3个月ChatGPT Pro、3个月Grok Heavy或1股SpaceX股票。这起活动使用通过电子邮件发送的邀请，引导用户进入对手居中和设备代码钓鱼流程，目标为Microsoft和Google账户。
Push Security发现，这些页面宣传OpenAI Academy直播、SpaceX私享简报会以及AWS re:Invent上的Anthropic活动。该公司表示，这些活动主题页面由活动运营者构建，与登录流程中使用的Kali365和VoidProxy钓鱼即服务平台分开。
Kali365和VoidProxy通过不同流程窃取登录数据
Push Security表示，Microsoft按钮通过Kali365启动Microsoft设备代码登录。受害者输入代码、登录并批准访问后，Microsoft会将令牌发放到运营者的Kali365会话。
随后，Microsoft流程将受害者发送到一个能够窃取密码和会话Cookie的VoidProxy Microsoft登录页面。Google按钮打开Google登录页面的VoidProxy反向代理，该代理会窃取密码、多因素身份验证响应和会话Cookie。
Push称，Kali365和VoidProxy是旨在绕过或击败多因素身份验证检查的独立钓鱼即服务平台。该公司表示，没有看到任何将两者开发者联系起来的信息。
假冒页面宣传奖励并列出活动
OpenAI页面宣传了一场11月4日举行的直播，标题为「ChatGPT for Social & Digital Marketing Teams」。SpaceX页面宣传了一场仅限受邀者参加的「Starship Product Briefing」，时间为11月12日，主题涉及面向营销的SpaceX AI和Grok。
Push将ZoomMock和MSDRoot与活动页面活动联系起来
Push表示，MSDRoot页面于10月22日开始出现，并确认ZoomMock和MSDRoot是用于构建和部署假冒活动邀请诱饵页面的工具包。该公司将两者之间的关联评为中高。
Push表示，运营者在10月20日至10月30日期间将主题从Zoom改为Anthropic、OpenAI、SpaceX和Claude。该公司称，这些活动主题页面与Kali365和VoidProxy平台分开。
Push Security表示，其行为钓鱼检测会在Kali365设备代码页面和VoidProxy反向代理呈现时，通过实时分析识别它们。该公司表示，客户无需采取进一步行动。
Push将诱饵页面工具包记录为ZoomMock和MSDRoot，并表示运营者在10月20日至10月30日期间从Zoom转向Anthropic、OpenAI、SpaceX和Claude。该公司将ZoomMock和MSDRoot之间的关联评为中高。
防守方现在要做什么
- 员工应直接访问活动组织者的官方网站核实邀请，而不是点击意外收到的注册链接。
- 安全团队应检查登录日志，关注异常设备代码批准、不熟悉的会话和异常OAuth活动。
常见问题
假冒OpenAI、SpaceX和Anthropic活动中发生了什么？
黑客利用假冒活动邀请和注册页面诱导员工遭受钓鱼攻击。Push Security于2026年10月底在客户浏览器上检测并拦截了访问这些页面的请求。
钓鱼页面的目标账户有哪些？
这些页面使用Kali365钓取Microsoft账户，使用VoidProxy钓取Google账户。
钓鱼流程可能窃取哪些信息？
在Microsoft流程中，受害者批准后，Microsoft向运营者的Kali365会话发放令牌，VoidProxy页面则窃取密码和会话Cookie。Google流程窃取密码、多因素身份验证响应和会话Cookie。
Kali365和VoidProxy是什么？
它们是旨在绕过或击败多因素身份验证检查的独立钓鱼即服务平台。Push称，没有看到任何将两者开发者联系起来的信息。
TechBooky对意外收到的活动邀请有什么建议？
TechBooky建议直接访问活动组织者的官方网站核实邀请，而不是点击意外收到的注册链接。该网站还建议检查登录日志，关注异常设备代码批准、不熟悉的会话和异常OAuth活动。
来源
- Fake OpenAI, SpaceX events used to steal Microsoft, Google accounts, HKCERT原始文件
- Fake event invites combine Kali365 and VoidProxy payloads, Push Security原始文件
- Fake OpenAI Codex download tricks macOS users into installing malware, Help Net Security
- Fake OpenAI and SpaceX Event Invites Target Work Accounts, TechBooky
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| HKCERT称，黑客利用假冒OpenAI、SpaceX和Anthropic活动邀请诱导员工遭受钓鱼攻击。 | HKCERT | 已证实 |
| Push研究人员发现了假冒OpenAI、SpaceX和Anthropic活动的注册页面。 | Push Security | 已证实 |
| Push称，这些页面使用Kali365钓取Microsoft账户，使用VoidProxy钓取Google账户。 | Push Security | 已证实 |
| Push于2026年10月底在客户浏览器上检测并拦截了访问假冒活动注册页面的请求。 | Push Security | 已证实 |
| 这些页面宣传OpenAI Academy直播、SpaceX私享简报会以及AWS re:Invent上的Anthropic活动。 | Push Security | 已证实 |
| 这些页面提供3个月ChatGPT Pro、3个月Grok Heavy或1股SpaceX股票作为奖励。 | Push Security | 已证实 |
| 这起活动使用通过电子邮件发送的邀请，引导用户进入AiTM和设备代码钓鱼流程。 | Push Security | 已证实 |
| Microsoft按钮通过Kali365启动Microsoft设备代码登录。 | Push Security | 已证实 |
| Google按钮打开Google登录页面的VoidProxy反向代理。 | Push Security | 已证实 |
| Kali365和VoidProxy是旨在绕过或击败多因素身份验证检查的独立钓鱼即服务平台。 | Push Security | 已证实 |
| 这些活动主题页面由活动运营者构建，与Kali365和VoidProxy分开。 | Push Security | 已证实 |
| Push将诱饵页面工具包记录为ZoomMock和MSDRoot，MSDRoot页面于10月22日开始出现。 | Push Security | 已证实 |
| OpenAI页面宣传了11月4日举行的直播，标题为ChatGPT for Social & Digital Marketing Teams。 | Push Security | 已证实 |
| SpaceX页面宣传了11月12日举行的仅限受邀者参加的简报会，主题涉及面向营销的SpaceX AI和Grok。 | Push Security | 已证实 |
| Microsoft流程在受害者输入设备代码、登录并批准访问后，将令牌发放到运营者的Kali365会话。 | Push Security | 已证实 |
| 随后，Microsoft流程将受害者发送到能够窃取密码和会话Cookie的VoidProxy页面。 | Push Security | 已证实 |
| Google代理窃取了密码、多因素身份验证响应和会话Cookie。 | Push Security | 已证实 |
| Push将ZoomMock和MSDRoot之间的关联评为中高。 | Push Security | 已证实 |
| Push称，没有看到任何将Kali365和VoidProxy开发者联系起来的信息。 | Push Security | 已证实 |
| Push称，运营者在10月20日至10月30日期间从Zoom转向Anthropic、OpenAI、SpaceX和Claude。 | Push Security | 已证实 |
| Push称，其行为钓鱼检测会实时识别并拦截Kali365设备代码页面和VoidProxy反向代理。 | Push Security | 已证实 |
| TechBooky称，Push在10月底检测并拦截了访问这些页面的请求。 | Push Security, via TechBooky | 引述 |
| Cato Networks称，在这起独立的Codex活动中观察到了针对macOS的活跃载荷投递，但未观察到针对Linux的投递。 | Cato Networks, via Help Net Security | 引述 |
| Help Net Security称，Cato发现这起独立Codex投递链与Atomic macOS Stealer之间存在高度相似性。 | Cato Networks, via Help Net Security | 引述 |
| HKCERT于2026年11月5日发布报告。 | HKCERT | 已证实 |
| pushsecurity.com于2026年11月5日发布报告。 | pushsecurity.com | 已证实 |
未能核实
- 是否有账户遭到入侵尚未确定
- OpenAI、SpaceX或Anthropic系统是否遭到入侵尚未确定
- 有多少人收到邀请或访问页面尚未确定
- 是否确认了活动运营者身份尚未确定
- 这起独立Codex活动是否与本次活动有关尚未确定
