2026-10-24 12:20:44 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

刚刚！微软端掉一个\"中国钓鱼帝国\"：10 亿封诈骗邮件，牵出 3 个中文工具包

原创

承影
承影

兰花豆说网络安全

2026年10月17日 07:30
湖北

去阅读

你手机里那条\"快递派送失败，点这里补交运费\"的短信，很可能不是某个小毛贼的手笔，而是一整套工业化、中文标注、Telegram 叫卖的\"钓鱼军火\"吐出来的。10 月 15 日，微软亲手把这台机器拔了插头。

一、开场：10 亿条，是一个什么概念

先给你一个能感知的数字。

自 2026 年 1 月以来，三个中文钓鱼工具包助长产生的恶意消息，超过了 10 亿条。它们冒充了全球 150 个国家、7.5 万多家组织和机构的身份——邮局、税务局、银行、电信运营商、医院，全在它的\"仿冒名单\"里。

10 亿条是什么概念？相当于全球几乎每个人，平均都被它\"问候\"了一次还多。

而干出这件事的，不是某个隐身暗网的孤狼黑客，而是三套明码标价、带中文界面、在 Telegram 上分渠道叫卖的\"钓鱼即服务\"（Phishing-as-a-Service）工具包，名字分别叫：Haozi（耗子？）、CoGUI、Iron Man（钢铁侠）。

10 月 14—15 日，微软 Threat Intelligence 与 Digital Crimes Unit 联手，拿着美国法院签发的命令，查封并接管了支撑这三套工具链的基础设施域名。这是一次典型的\"断根\"行动。

二、事件还原：一套中文\"军火\"，喂饱半个诈骗圈

微软透露，这次行动是他们去年底启动的调查的收网。起因是微软接到线索：有针对日本民众的恶意消息活动。顺着这条线往下挖，挖出了三套高度相似、却披着不同品牌外衣的中文工具包。

它们是怎么运作的？说白了，就是把诈骗\"傻瓜化、流水线化\"：

Iron Man

是一套\"钓鱼工具包即服务\"。它给犯罪分子准备了 2300 多个预制诱饵页面，一键仿冒邮局、交通罚单、税务、银行、电信等可信服务。你收到的\"欠费短信\"，模板就来自这里。

CoGUI

同样提供现成的仿冒网站和话术，冒充品牌企业、金融机构和政府机构。

三者虽然品牌不同、Telegram 销售渠道各自独立，但微软评估认为：它们由中文母语的威胁行为者开发，能力高度雷同——说白了，可能就是同一伙人换马甲。

这些工具包，正是我们熟知的\"假快递\"\"假 ETC 欠费\"\"假税单\"短信背后的\"发动机\"。微软数字犯罪部门的法律顾问在博客里写了句很形象的话：大多数人打开消息，都会看到一条紧急警告——包裹送不到、过路费没交、银行账户要核实、税单逾期了。

靠着这套工业化武器，运营者赚走了数千万美元，而下游犯罪分子则用它们偷走登录凭据、个人信息、银行数据和各种账户权限。

三、深度拆解：为什么\"中文工具包\"值得我们特别警惕

这里要科普一个概念：钓鱼工具包。它就像给罪犯发的\"作案工具箱\"——里面装好了仿冒网页、窃取脚本、后台管理面板。买家用它，不需要懂任何技术，点点鼠标就能发起一场看似专业的诈骗。当这种工具包还带中文界面、在中文社群叫卖时，意味着门槛被压到了最低，扩散速度被拉到了最快。

更值得中国读者警惕的，是这类工具包的两层\"外溢\"：

第一层，出海反噬。工具包中文开发、全球投放，冒充的不只是外国机构，也包括大量中国企业和机构身份。我们自己的品牌，常常是被仿冒的\"皮肤\"。

第二层，黑产即服务（Crime-as-a-Service）的常态化。Iron Man 们证明：今天的网络犯罪，早已不是\"高手单干\"，而是\"平台供货、散户接单\"。防御方要对付的，不再是一个黑客，而是一整条产业链。

下面这张表，帮你分清这几类\"工具包\"的定位：


类型	面向对象	技术门槛	危害范围
单兵钓鱼邮件	个体小贼	高（自己写）	小
钓鱼工具包（Kit）	不懂技术的买家	低（开箱即用）	中
钓鱼即服务（PaaS）	规模化犯罪团伙	极低（订阅制）	大（跨国）

10 亿条消息、7.5 万家机构——这组数字背后，是钓鱼攻击彻底\"平台化\"的标志。 十年前，搞一场跨国钓鱼，得自己搭服务器、写钓鱼页、想办法收款；今天，你只要租一套 Iron Man，剩下的全有人替你\"包办\"。当犯罪变成\"开箱即用\"的订阅服务，防御方要对付的，就不再是几个高手，而是一整条自动化的产业链。这也是为什么微软这次选择\"断根\"——直接接管域名，让整条流水线瞬间停摆。

这些工具包内部，到底长什么样？ 一个典型的钓鱼工具包，本质是一个自带后台的\"钓鱼网站生成器\"：它预置了各大银行、税务、快递的登录页模板，受害者输入账号密码的瞬间，凭据就被悄悄写进攻击者的数据库；后台面板还能实时看到\"今天钓到了多少、来自哪个国家\"。Iron Man 的 2300 多个预制页面，就是把这种\"工业化钓鱼\"做到了极致——买家不用懂 HTML，选个模板、填个收款地址，一场跨国诈骗就开张了。微软评估称，这些中文工具\"让不太懂技术的罪犯也能大规模跑诈骗\"，正是这个意思。

四、影响与启示：断根容易，铲草难

微软这次动作很漂亮——联合日本警视厅、Health-ISAC 拿到法院令，直接接管域名，等于把水龙头关了。但作为一个干过安全的人，我得泼一句冷水：断根容易，铲草难。

域名可以被接管，但工具包的源码还在，团伙换个域名、改个皮肤就能\"复活\"。历史上每一次大型打击，几乎都伴随着\"换壳重来\"。对普通人和企业来说，真正的防线还得自己筑。

一份可落地的防骗清单：

短信链接一律\"先疑后点\"

快递、罚单、税单、银行通知，默认不信，去官方 App 或官网核实。

开启防钓鱼的强 MFA

重要账户用基于硬件密钥或 App 的二次验证，别只靠短信验证码（短信本身就能被拦截/劫持）。

企业要做\"被冒充\"监测

品牌安全团队应持续监控仿冒域名与钓鱼页面，发现即举报下架。

收紧凭据泄露面

员工个人邮箱、社交账号一旦泄露，常被复用于针对企业的定向钓鱼，要做泄露监控。

培养\"慢半拍\"习惯

越是\"紧急\"\"限时\"\"否则后果严重\"的话术，越要停三秒。

再多说一句：这类工具包最阴的地方，是它们会持续演进。域名被接管、源码却还在黑市流通，换皮重生几乎是常态。对国内企业而言，被冒充的\"品牌皮肤\"里，常常就有我们自己的银行和政务平台——所以品牌威胁监测、仿冒域名举报，不能只靠几家大厂，中小机构也得动起来。否则，下一次\"10 亿条\"里，被仿冒的，可能就是你的招牌。