“Starkiller”網絡釣魚服務代理真實登錄頁面和 MFA
KrebsOnSecurity 報道了一種名爲“Starkiller”的新型網絡釣魚即服務（PhaaS）產品，它通過代理真實的登錄頁面和多因素認證（MFA）來規避傳統的反釣魚措施。
與大多數靜態複製登錄頁面的釣魚網站不同，Starkiller 採用了一種更復雜的策略，實時代理受害者的登錄會話。這意味着攻擊者不再需要手動創建和維護虛假的登錄頁面，而是直接將受害者流量重定向到合法網站，並在中間竊取憑據和 MFA 代碼。這種動態代理技術使得檢測和阻止變得更加困難，因爲釣魚頁面本身並不存儲敏感信息，且外觀與真實網站完全一致，甚至能繞過基於 URL 或頁面內容的檢測。
Starkiller 的出現標誌着網絡釣魚攻擊的複雜性進一步升級，對企業和個人用戶提出了更高的安全防護要求，需要更先進的威脅檢測和用戶教育來應對。
概述
KrebsOnSecurity 報道了一種名爲“Starkiller”的新型網絡釣魚即服務（PhaaS）產品，它通過代理真實的登錄頁面和多因素認證（MFA）來規避傳統的反釣魚措施。
要点分析
與大多數靜態複製登錄頁面的釣魚網站不同，Starkiller 採用了一種更復雜的策略，實時代理受害者的登錄會話。這意味着攻擊者不再需要手動創建和維護虛假的登錄頁面，而是直接將受害者流量重定向到合法網站，並在中間竊取憑據和 MFA 代碼。這種動態代理技術使得檢測和阻止變得更加困難，因爲釣魚頁面本身並不存儲敏感信息，且外觀與真實網站完全一致，甚至能繞過基於 URL 或頁面內容的檢測。
Starkiller 的出現標誌着網絡釣魚攻擊的複雜性進一步升級，對企業和個人用戶提出了更高的安全防護要求，需要更先進的威脅檢測和用戶教育來應對。
来源： [krebsonsecurity.com](https://krebsonsecurity.com/2026/02/starkiller-phishing-service-proxies-real-login-pages-mfa/)