黑客伪造 OpenAI、SpaceX、Anthropic 活动邀请，借设备码与反代绕过 MFA
Push Security 报告：伪造 OpenAI、SpaceX、Anthropic 活动邀请借设备码与 AiTM 反代绕过 MFA，窃取微软和谷歌账号。
据 Push Security 本周发布的一手研究，一批伪造的活动注册页面正冒用 OpenAI、SpaceX 和 Anthropic 的名义散发邀请：页面承诺三个月 ChatGPT Pro、Grok Heavy，甚至「一股 SpaceX 股票」，条件是用工作账号登录领取。Push 称其在 10 月下旬检测并拦截了对这些页面的访问，11 月 2 日完成取证时，承载页面的域名 eventrsvp[.]app 才注册三天。BleepingComputer 与 TechRadar 先后跟进报道了这波「AI 活动邀请钓鱼」。
要点
- 这波攻击一次串起两套即服务平台：微软账号走 Kali365 的设备码钓鱼——受害者在微软真正的设备码页面批准请求，OAuth 令牌直接签发给攻击者的会话，全程不需要偷密码；谷歌账号走 VoidProxy 反向代理，密码、MFA 响应和会话 cookie 被原样截走。
- 三场假活动各有饵料：OpenAI Academy「ChatGPT for Social & Digital Marketing Teams」直播（11 月 4 日）送三个月 ChatGPT Pro；SpaceX「Starship Product Briefing」（11 月 12 日）可选三个月 Grok Heavy 或「一股 SpaceX 股票」；Anthropic 的 AWS re:Invent 页面在 Push 调查时已经下线。
- 归因基于基础设施而非代码：Push 认为同一伙运营者先后用过 ZoomMock（5 月起假 Zoom 页面）和 MSDRoot（10 月 22 日起）两套模板，依据是共享域名 rsvpconnect-events[.]com、同款 Cloudflare 挑战页和同样瞄准营销人员；两套 PhaaS 平台 Kali365 与 VoidProxy 的开发者之间则没有任何关联证据。
背景
冒用 AI 品牌发假邀请不是新招，这一波是同一条产品线的最新一代。按 Push 给出的时间线，2026 年 5 月出现第一批 ZoomMock 假 Zoom 活动页；7 月 15 日 ANY.RUN 报告过借真 zoom.us「partner summit」页面分流到设备码与 AiTM 钓鱼的变体；10 月 29 日 Cofense 报告了经 GoTo Webinar 邮件系统发送的「Austin from nthropic」Anthropic 邀请；10 月 20 日至 30 日，运营者把主题从 Zoom 换成 Anthropic，再换成 OpenAI、SpaceX 和 Claude。上个月 Check Point 刚统计过另一路假日历邀请钓 4 万机构：同样不利用任何软件漏洞，只拿「看起来像真的邀请」换工作账号凭证。AI 品牌在其中扮演的角色很一致——用最愿意点进去的名字做饵。
设备码与反代拆解
设备码钓鱼是微软路径的第一段。受害者在假活动页点「Continue with Microsoft」后，页面先向 Kali365 后端要一个设备码，弹出一个「Confirm access」对话框；「Open Microsoft」按钮打开的确实是微软官方设备码登录页 login.microsoftonline.com/common/oauth2/deviceauth。受害者粘贴代码、登录、批准请求——MFA 在真页面上完成，微软随后把 OAuth 令牌签发给攻击者的 Kali365 会话。攻击者自始至终没碰过密码，拿到的却是有效令牌。BleepingComputer 的表述是：Kali365 滥用「the legitimate OAuth 2.0 device authorization grant flow」，绕过密码直接拿到 Entra 令牌。
第二段接 VoidProxy：领完令牌的受害者被转到一个 VoidProxy 反代的微软登录页，再收一次密码和会话 cookie。谷歌路径则全程只有 VoidProxy——页面弹出标题为「Portal」的窗口，反向代理谷歌的真实登录流程，密码、MFA 响应、会话 cookie 一并截下，攻击者拿 cookie 直接接管已认证的会话。两条路的共同点是不跟 MFA 较劲：要么让受害者自己批准，要么连会话一起偷走。
掩护层同样成体系。据 Push 的记录，lure 域名挂着 Cloudflare 托管挑战，把公开扫描器挡在外面，VoidProxy 的微软代理页给扫描器看的甚至是真新闻站；邀请链接先过 Google 短链（c.gle、share.google）或 Zapier 的 zpr.io，还有一条先借 x.com 的登出跳转再进短链。Push 在博客里写道：「Short links and open redirects on trusted domains are common techniques for evading reputation-based URL checks.」三个假活动的结构如下（据 Push 11 月 2 日取证）：
| 假活动 | 时间 | 承诺奖励 | 载荷 |
|---|---|---|---|
| OpenAI Academy 直播「ChatGPT for Social & Digital Marketing Teams」 | 11 月 4 日 | 三个月 ChatGPT Pro | Kali365 设备码 + VoidProxy 二段 |
| SpaceX「Starship Product Briefing」 | 11 月 12 日 | 三个月 Grok Heavy 或「一股 SpaceX 股票」 | 同上 |
| Anthropic at AWS re:Invent | 12 月大会期间 | 参会注册 | 页面调查时已下线 |
Push 还发现新页面抄旧页面时留下了痕迹：OpenAI 页面里残留提到 Claude 的 URL 和一句「Same as Claude」代码注释。注册流程要求工作账号登录，回收服务器是 eventrsvp-217-60-102-48.sslip[.]io/collect.php（IP 217.60.102[.]48），域名模式为 <brand>.eventrsvp[.]app/event/<brand>/id<11 位数字>/rsvp/。
各方说法
Push Security 对饵料的判断是：「Employees want access to the latest AI tools, making them excellent bait for attacks.」并把这套组合称为「the MFA-bypassing AiTM and device code phishing payloads」——专挑以 URL 信誉、邮件网关和扫描器为主的防御。BleepingComputer（Lawrence Abrams，11 月 5 日）补齐了归因口径：ZoomMock 与 MSDRoot「被认为是同一批威胁行为者」所运营，依据是共享基础设施与瞄准对象，而非共享代码；发行渠道至今不明，钓鱼邮件、社交渠道和 Telegram 群组都有可能。TechRadar（Sead Fadilpašić，11 月 6 日）把这件事放进更长的清单：7 月 ANY.RUN 看到过借真 Zoom 活动页散发的 Meta、OpenAI、Anthropic 假邀请，Cofense 看到过 GoTo Webinar 发的 Anthropic 邀请，再往前还有搜索广告投的假 Claude 安装页、伪装成共享 AI 对话或自定义 GPT 的恶意链接。各家口径没有冲突，差别只在覆盖面：Push 给机制和指标，BleepingComputer 给归因与发行缺口，TechRadar 给沿革。
编辑判断
对防御方，这波「AI 活动邀请钓鱼」最要紧的结论是：开了 MFA 不等于 MFA 在保护你。设备码钓鱼让受害者自己在真页面上完成认证，MFA 全程得到满足；AiTM 反代连 MFA 响应带会话 cookie 一起收走，拿到 cookie 之后攻击者不再需要任何凭证。想把这两条路一起压掉，可靠的路径仍是换钓鱼抵抗型凭证——我们在 Passkeys 不是陷阱 一文里说过，能被实时中继的是 TOTP，绑定域名的 passkey 在反代面前失效；BleepingComputer 给出的清单相同：不从来路不明的页面输设备码、没有必要的账号关掉设备码授权、条件允许就上 FIDO2 安全密钥。有两处要留余地：其一，Push 是做浏览器侧检测的厂商，其「实时行为检测」的处方带着自家产品立场；其二，IoC 的价值有限——Push 自己明说域名每隔几周就轮换，而且这些指标也可能被 Kali365、VoidProxy 的其他客户共用，不能当作这伙运营者的专属指纹。
接下来
三个可盯的信号：微软与谷歌是否会对设备码授权加默认限制；12 月 AWS re:Invent 临近时是否出现新一波借会主题的假页面；以及下一批饵料品牌——Push 的判断是运营者手里的活动大概率不止这三场。就眼前这一波，11 月 12 日的假 SpaceX 简会和已下线的 Anthropic re:Invent 页面说明主题轮换以周计，检测规则要跟着浏览器里的页面行为走，而不是跟着域名列表走。