摘要针对 2024 年 10 月起持续针对白俄罗斯流亡活动人士、俄罗斯及哈萨克斯坦用户开展的定向 Telegram 钓鱼攻击事件本文以 Resident NGO 披露的真实攻击样本为核心研究对象系统拆解本次无恶意软件型定向钓鱼攻击的完整链路、基础设施混淆机制、字符混淆规避检测、用户行为施压诱导等核心攻击技术。研究区分传统间谍软件渗透攻击与本次纯社工钓鱼劫持账号模式的技术差异还原攻击者基于设备指纹、浏览器特征、访问行为的目标精准分发逻辑解析携带目标手机号的个性化追踪链接、二次胁迫消息、端到端加密秘密会话投递等关键攻击环节实现原理。结合反网络钓鱼技术专家芦笛的技术研判观点搭建面向跨境即时通讯平台定向社工钓鱼的全流程防御框架配套提供前端特征识别、后端流量检测两段式可运行代码示例从终端用户识别、平台侧风控、安全机构溯源三个维度提出落地防御策略。研究证实依托即时通讯加密会话开展的无恶意软件定向钓鱼具备隐蔽性强、攻击成本低、溯源难度高的特征已成为针对境外公民社会群体网络渗透的主流手段相关技术分析与防御方案可为跨境社交平台网络安全治理提供实证依据。关键词Telegram定向钓鱼社工劫持字符混淆设备指纹检测即时通讯安全1 引言1.1 研究背景即时通讯工具已成为跨境信息传递、民间社会交流的核心载体Telegram 凭借端到端加密秘密聊天、跨区域无地域访问限制、轻量化多终端适配等特性长期被东欧、中亚多国记者、民间活动人士作为核心沟通渠道。伴随针对跨境异议群体、境外媒体从业者的网络渗透活动常态化传统基于 Pegasus、ResidentBat 等商业间谍软件的攻击模式存在明显短板间谍软件部署依赖物理接触、设备漏洞利用、受控第三方应用分发攻击实施门槛高、痕迹留存显著易被终端安全软件、移动系统安全机制拦截。2024 年 10 月至今Resident NGO 持续监测到覆盖白俄罗斯、俄罗斯、哈萨克斯坦三国用户的规模化定向 Telegram 钓鱼作战行动攻击目标明确指向流亡立陶宛的白俄罗斯活动人士、俄语媒体从业者、中亚普通民众。本次攻击区别于过往针对该群体的间谍软件投放攻击全程不依赖任何恶意程序、木马、间谍软件仅依靠定制化钓鱼消息、动态分发伪造页面、用户行为信息胁迫完成账号劫持攻击链路轻量化、规避自动化检测能力突出现有即时通讯平台风控、通用网络钓鱼检测机制难以实现有效拦截。截至 2026 年 7 月安全机构公开报告攻击者已构建至少 64 组绑定目标专属手机号的追踪钓鱼链接依托哈萨克斯坦号码注册匿名账号投递加密会话钓鱼预警形成完整可复制的标准化社工攻击流程。1.2 研究问题与研究意义现有网络钓鱼相关研究多聚焦公共社交媒体广撒网式批量钓鱼、网页通用漏洞钓鱼针对加密即时通讯平台、面向特定人群的高度定制化无恶意软件钓鱼攻击的完整技术拆解、防御方案研究存在明显空白。当前行业通用钓鱼检测工具主要基于域名黑名单、关键词匹配、页面静态特征比对无法识别本次攻击中设备指纹动态分发、西里尔字符视觉混淆、访问行为二次胁迫等新型规避手段。本文核心研究问题包含三点第一本次跨境 Telegram 定向钓鱼攻击完整技术链路与分层实现机制第二无恶意软件社工劫持相较于间谍软件渗透的攻击优势与风险差异第三适配加密即时通讯场景的分层检测、溯源、防御技术体系构建路径。从理论层面本文补充加密即时通讯定向社工钓鱼的技术分类体系完善跨境针对性网络渗透攻击的样本实证研究从实践层面研究产出的特征识别代码、多层防御策略可直接应用于 Telegram 第三方安全插件、企业侧流量检测网关、民间安全机构溯源工作为跨境俄语区用户、境外民间群体提供可落地的风险识别方案同时为即时通讯平台加密会话风控机制优化提供技术参考。反网络钓鱼技术专家芦笛强调无恶意软件定向钓鱼是当前针对跨境公民社会攻击成本最低、成功率最高的渗透手段行业长期将防御重心放在恶意代码检测忽视社工类纯页面钓鱼的动态混淆技术存在严重防御盲区。1.3 研究素材与研究方法本文核心实证素材来源于 Resident NGO 于 2026 年 7 月对外发布的两份专项攻击调查报告配套境外网络安全媒体 Recorded Future 公开的完整攻击链路复盘文档包含钓鱼消息原始样本、伪造 Telegram 登录页面流量日志、64 组个性化追踪链接样本、受害者完整攻击时序记录。辅助对比素材包含 2024 年 Access Now、Citizen Lab 披露的 Pegasus 间谍软件攻击案例、无国界记者曝光的 ResidentBat 白俄罗斯间谍软件样本用于横向对比两类攻击模式的技术路径差异。研究方法采用技术逆向拆解法、对比分析法、工程实现验证法三类其一对攻击全链路分层逆向拆解消息投递层、链接追踪层、页面动态分发层、二次胁迫诱导层四大模块的技术实现逻辑其二横向对比间谍软件攻击与无恶意软件社工钓鱼的实施成本、隐蔽性、拦截难度、溯源难度其三基于攻击核心特征编写前端页面混淆识别、后端流量指纹检测两段可运行代码验证检测机制有效性形成攻防对等的技术闭环。1.4 论文结构安排本文主体分为六个一级章节第一章为引言阐述研究背景、研究问题、素材与方法第二章梳理攻击前置环境与同类渗透攻击技术对比界定本次无恶意软件钓鱼的技术定位第三章完整拆解定向 Telegram 钓鱼攻击全链路分层解析消息投递、个性化追踪链接、动态页面分发、字符混淆规避、二次胁迫诱导五大核心攻击技术第四章开展攻击风险深度研判分析目标群体安全威胁、现有防御体系失效根源第五章搭建分层防御技术体系配套提供两段特征检测代码示例分别面向终端用户与平台侧流量网关第六章为研究结论与展望客观总结研究成果指出当前防御体系局限性与后续研究方向。2 攻击前置环境与同类网络渗透技术对比2.1 Telegram 平台安全机制基础Telegram 核心安全设计分为两层一是普通云端聊天会话消息存储于平台服务器支持批量风控关键词扫描、异常链接拦截二是端到端加密秘密聊天Secret Chat采用客户端点对点加密服务器无消息明文存储平台无法对会话内文本、链接开展实时内容检测这一原生安全特性成为本次攻击者的核心突破口。平台原生账号风控规则仅拦截公开批量发送恶意链接的普通账号对陌生小号发起的一对一加密秘密会话无强制内容校验Telegram 登录验证依赖一次性短信验证码OTP验证码有效期短、无二次设备校验机制一旦攻击者获取有效 OTP 即可直接接管账号无需破解账号密码这一验证机制漏洞是社工劫持能够成立的底层基础。从用户群体特征来看白俄罗斯、俄罗斯、哈萨克斯坦俄语用户普遍高度依赖 Telegram 开展跨地域沟通流亡海外的活动人士长期使用加密秘密会话规避区域网络管控对平台官方安全预警具备高度敏感度攻击者利用用户对账号封禁风险的恐惧心理构建虚假安全通知天然具备社工诱导优势。2.2 传统间谍软件渗透攻击技术特征2024-2025 年针对白俄罗斯、俄语记者群体的渗透攻击以商业间谍软件为核心代表工具为 Pegasus、ResidentBat两类攻击技术路径高度趋同核心流程分为三步第一渗透入口依赖物理接触或系统高危漏洞。Pegasus 依靠手机零点击漏洞无需用户操作即可后台植入ResidentBat 需要目标人员被羁押期间通过受控设备、第三方应用完成安装攻击实施存在极高前置门槛攻击者需要获取设备物理访问权限或掌握移动端未公开高危漏洞。第二攻击载荷具备可检测特征。间谍软件植入后会持续后台采集通话、聊天、位置、相册数据终端杀毒软件、移动端系统权限监控工具可识别异常后台进程、非法权限调用安全机构可提取恶意程序样本完成特征入库实现长期批量拦截。第三攻击痕迹固定溯源线索清晰。间谍软件存在唯一程序签名、C2 通信域名、固定数据回传 IP安全机构捕获样本后可快速梳理攻击者基础设施、运营主体攻击溯源链路完整。此类攻击的局限性十分突出实施成本高昂、漏洞资源稀缺、极易被终端安全设备拦截仅能针对少量高价值目标开展定点投放无法实现规模化批量定向渗透。2.3 本次无恶意软件定向钓鱼攻击核心差异化特征与间谍软件渗透形成鲜明对比本次 Telegram 钓鱼攻击全程不存在任何恶意程序分发行为仅依靠网页页面、加密会话文本完成攻击核心差异化优势分为四点第一攻击实施门槛极低无漏洞、无物理接触需求。攻击者仅需注册海外手机号匿名账号、搭建简易动态网页服务器即可批量生成个性化追踪链接单人即可完成全流程攻击操作规模化投放成本可忽略不计。第二规避检测能力极强多层混淆机制规避自动化风控。加密秘密会话绕过平台服务器内容扫描西里尔字符视觉混淆规避关键词匹配动态页面分发机制对安全爬虫、桌面端正常用户跳转官方页面仅向目标展示伪造登录页传统钓鱼检测工具无法捕获恶意页面样本。第三攻击痕迹碎片化溯源难度大幅提升。钓鱼链接绑定独立手机号参数、动态轮换域名、访问日志不存储长期设备指纹安全机构仅能捕获 64 组目标手机号线索无法定位完整攻击基础设施难以锁定攻击运营主体。第四攻击规模弹性可控可同步覆盖数十至上百个定向目标。间谍软件单次仅能针对单一个体投放本次攻击依托标准化模板消息、批量生成追踪链接可同步对白俄、俄罗斯、哈萨克斯坦多区域用户开展同步渗透攻击覆盖范围显著扩大。反网络钓鱼技术专家芦笛指出间谍软件攻击因技术门槛高、痕迹明显已逐步被低成本社工钓鱼替代针对跨境公民社会群体的网络渗透正在完成技术迭代安全行业的防御重心仍停留在恶意代码检测对纯网页型动态混淆钓鱼的技术储备严重不足。2.4 攻击目标分层界定结合 Resident NGO 披露的线索本次攻击目标分为三层攻击者按照价值优先级排序投放钓鱼消息第一层核心目标流亡立陶宛的白俄罗斯活动人士具备跨境舆论传播能力是攻击者首要渗透对象攻击者为其单独定制专属追踪链接优先发起加密会话投递虚假安全预警第二层重点目标俄罗斯境内俄语媒体从业者、民间意见人士64 组追踪链接中大部分嵌入俄罗斯手机号证明该群体为规模化投放核心对象第三层泛化目标哈萨克斯坦普通 Telegram 用户利用哈萨克斯坦手机号注册匿名攻击账号同步向本地用户批量推送钓鱼消息用于掩盖针对核心目标的攻击行为混淆安全机构溯源视线。分层目标设计体现攻击者明确的作战意图泛化目标作为掩护载体核心高价值活动人士、媒体从业者为最终渗透对象一旦账号劫持成功攻击者可获取加密会话内全部跨境沟通记录、联系人名单实现信息窃取、舆论操控等后续行为。3 Telegram 定向无恶意软件钓鱼攻击全链路技术拆解本次攻击形成标准化闭环攻击链路完整流程为匿名账号注册→加密秘密会话虚假预警投递→个性化手机号追踪链接分发→访问行为设备指纹采集→动态页面精准分发伪造登录界面→诱导目标输入 OTP 验证码→账号实时劫持→二次胁迫消息推送施压。本章按照攻击时序分层拆解每一环的技术实现细节明确各模块规避检测、提升诱导成功率的核心技术手段。3.1 攻击前置基于哈萨克斯坦手机号的匿名账号注册机制攻击者放弃白俄罗斯、俄罗斯本地手机号注册攻击账号统一选用哈萨克斯坦手机号完成 Telegram 账号开户底层具备两层技术考量第一跨境号码规避区域风控拦截。白俄罗斯、俄罗斯运营商号码注册的小号批量发送异常消息会触发平台区域风控哈萨克斯坦跨境号码注册账号的异常行为阈值更高平台短时间内不会限制账号会话发送权限第二混淆溯源地域线索。安全机构溯源时会优先通过账号注册手机号归属地锁定攻击者活动区域选用第三国号码可干扰溯源判断隐藏真实攻击发起主体地域特征。账号注册完成后攻击者仅使用该账号发起一对一端到端加密秘密聊天不发布公开频道内容、不添加公共群组无公开行为痕迹平台无法通过群组、频道行为识别异常风险账号大幅提升账号存活周期。3.2 攻击入口加密秘密会话虚假安全预警投递技术攻击启动载体为 Telegram Secret Chat 加密会话这是本次攻击实现隐蔽投递的核心关键技术实现分为两点3.2.1 加密会话绕过平台内容检测的底层逻辑Telegram 普通聊天会话的消息明文会上传至平台云端服务器平台后台可部署关键词正则匹配、恶意链接特征库扫描识别封禁虚假安全预警、钓鱼域名但端到端秘密聊天采用客户端非对称加密消息仅在收发双方本地设备完成加解密服务器仅传输加密二进制数据包无任何明文文本、链接可供平台风控系统扫描。攻击者发送的违规虚假预警文本、钓鱼链接全程无法被平台后台实时识别只有目标用户本地设备打开会话后才能解密查看平台不存在前置拦截渠道。3.2.2 虚假安全预警社工诱导文案设计逻辑消息核心话术模拟 Telegram 官方风控通知核心信息包含 “违反平台社区规则”“账号即将永久封禁”“仅可通过链接完成身份核验解除限制” 三层胁迫信息利用用户对社交账号封禁的恐惧心理驱动点击行为。为规避本地终端关键词过滤工具攻击者采用西里尔字符视觉混淆技术改造文案内容后文 3.4 章节单独拆解该混淆实现原理。目标接收消息后若未识别钓鱼特征点击链接即进入攻击者控制的钓鱼网页服务器若目标识别风险未点击攻击者会留存该用户手机号标记延后时段重复推送同类加密会话消息持续试探渗透。3.3 核心追踪载体嵌入专属手机号的个性化钓鱼链接实现攻击者为每一名目标单独生成独立钓鱼链接链接 URL 参数内硬编码目标完整手机号64 组捕获样本均遵循该标准化构造逻辑该模块承担用户追踪、目标区分两大核心功能。3.3.1 个性化链接结构规范标准链接格式示例https://tg-verify-official.com/check?phone7XXXXXXXXXX其中phone参数值为目标完整国际手机号不同目标对应唯一参数值攻击者后端服务器建立参数与目标身份的映射数据库实现访问行为精准溯源。3.3.2 链接追踪技术实现逻辑当目标点击链接发起 HTTP 访问请求时Web 服务器自动记录三类核心数据并关联对应手机号参数访问时间戳、客户端 User-Agent 浏览器标识、出口 IP 及运营商 ISP 信息全部数据存入后端数据库绑定目标身份。该采集行为无需用户授权仅依靠 HTTP 请求原生报文头部即可完成无额外弹窗、权限申请隐蔽性极强。采集到用户访问行为数据后攻击者会利用该数据制作二次胁迫消息向目标推送包含其设备型号、访问时间、网络运营商的精准警告大幅提升虚假通知的可信度弱化用户安全警惕性。3.3.3 链接参数带来的攻击优势一是精准区分访问者身份不存在批量链接混淆问题攻击者可清晰掌握哪些目标点击链接、哪些目标直接忽略消息二是数据关联完整单次访问即可同步获取目标身份、设备、网络环境多维信息为二次社工诱导提供真实数据支撑三是便于批量管理攻击目标64 组手机号参数可批量生成、批量分发支撑规模化定向投放。3.4 规避自动化检测西里尔字符视觉混淆编码技术为绕过本地终端关键词过滤脚本、平台离线文本扫描工具攻击者对钓鱼消息内关键敏感词汇进行字符替换混淆核心手段为西里尔字母替换为视觉高度近似的拉丁字母、希腊字母属于同形异码字符混淆攻击技术实现细节如下3.4.1 混淆字符映射规则俄语西里尔字母与拉丁 / 希腊视觉近似字符固定映射西里尔а替换拉丁 a、西里尔о替换数字 0、西里尔с替换拉丁 c、西里尔р替换拉丁 p、西里尔е替换希腊 ε。替换后文本肉眼阅读无明显差异普通用户无法区分字符编码区别但自动化关键词检测工具基于纯文本编码匹配无法识别混淆后词汇风控正则规则完全失效。示例原始俄语官方通知词汇верификация核验混淆后替换部分西里尔字符生成вεрифικαциα肉眼视觉无差别关键词匹配库无法命中风险词汇。3.4.2 混淆机制的检测规避原理传统文本安全检测采用明文字符串精确匹配、模糊关键词匹配两种模式均基于字符 Unicode 编码比对。攻击者替换字符后风险词汇 Unicode 编码序列完全改变原有风险关键词特征库无法匹配命中同时混淆操作仅修改单个字符整体句子语义、视觉形态不变不影响社工诱导效果实现检测规避与攻击有效性平衡。反网络钓鱼技术专家芦笛强调西里尔字符视觉混淆是俄语区钓鱼攻击的标配规避手段通用开源文本检测工具极少内置多语种同形字符映射库针对小语种、西里尔语种的混淆检测存在显著技术短板。3.5 攻击核心隐蔽层基于设备指纹的动态页面分发基础设施本次攻击技术复杂度最高、防御难度最大的模块为动态页面分发服务器也是区别于普通批量钓鱼的核心创新点。服务器不会对所有访问者统一返回伪造 Telegram 登录页面而是前置设备指纹校验逻辑分层返回不同页面资源从根源规避安全爬虫、自动化检测工具捕获恶意页面样本。完整分发逻辑分为三层判断分支3.5.1 第一层校验访问客户端设备与浏览器指纹服务器提取 HTTP 请求头 User-Agent、客户端屏幕分辨率、操作系统标识、浏览器内核版本、设备终端类型移动端 / 桌面端多维度指纹构建访问者画像。3.5.2 第二层分支判定逻辑分支 1访问者指纹匹配后端数据库存储的目标设备指纹此前目标点击链接时已采集对应设备特征服务器返回高度仿真的 Telegram 官方 OTP 验证码核验伪造页面页面视觉、布局、配色、按钮交互与真实 Telegram 网页登录界面完全一致无明显视觉破绽分支 2访问者为桌面端通用浏览器、网络安全爬虫、杀毒软件检测引擎、第三方安全扫描工具服务器直接 302 重定向跳转至 Telegram 官方真实域名telegram.org无任何恶意页面返回扫描工具无法捕获伪造页面样本分支 3陌生移动端设备、无匹配手机号参数的访问请求跳转至空白静态无害 HTML 页面不展示任何登录交互界面避免恶意页面暴露。3.5.3 动态分发机制的防御规避效果通用网络钓鱼检测平台依靠爬虫批量访问钓鱼链接抓取页面样本再通过图像比对、文本特征识别判定风险页面本次攻击服务器对爬虫、桌面扫描设备直接跳转官方页面爬虫无法获取伪造登录界面风险样本无法入库黑名单、特征库拦截机制完全失效安全机构难以批量收集攻击页面证据。仅目标本人使用自身设备访问链接时才能加载恶意伪造页面攻击样本仅存在于目标本地会话外部检测渠道无法触达。3.6 账号劫持核心环节OTP 一次性验证码社工窃取流程伪造页面唯一交互逻辑为输入 Telegram 登录短信验证码OTP无账号密码输入框简化诱导流程提升成功率劫持流程标准化目标加载伪造页面后页面提示输入手机收到的官方登录验证码话术标注 “验证码过期将永久冻结账号”用户出于账号安全担忧查看手机短信内 Telegram 下发的真实登录 OTP填入伪造页面表单并提交表单数据实时 POST 提交至攻击者后端服务器服务器内置 Telegram 第三方登录接口同步将手机号 OTP 验证码提交至 Telegram 官方登录接口若验证码未超过有效时效Telegram 服务器返回账号登录会话 Token攻击者直接获取完整账号控制权限可实时查看全部聊天记录、修改账号绑定手机号、删除联系人、发送伪造消息劫持完成后攻击者可选择留存账号长期潜伏或批量导出联系人、加密聊天记录完成信息窃取无额外恶意代码植入行为。该劫持路径依托平台原生 OTP 登录机制不存在漏洞利用完全依靠社会工程学诱导平台后台无法区分用户主动提交验证码与恶意窃取场景无原生风控拦截逻辑。3.7 攻击收尾二次胁迫消息施压诱导机制当服务器检测到目标点击链接但未提交 OTP 验证码即访问行为存在但未完成劫持攻击者会通过同一加密秘密会话推送第二条胁迫消息进一步压缩用户判断思考时间提升劫持成功率。二次消息核心特征为嵌入此前链接采集的用户私有数据设备型号、精确访问时间、网络运营商名称通过展示仅用户本人知晓的隐私访问数据强化 “平台已掌握本机异常操作” 的虚假认知制造紧迫感迫使用户完成验证码提交。从社工心理学角度普通用户在看到自身设备、网络、精确访问时间等私密信息出现在官方预警通知中会默认消息具备官方真实性大幅降低安全警惕弱化钓鱼识别能力是提升攻击转化率的关键辅助技术手段。4 定向 Telegram 无恶意软件钓鱼攻击风险研判与现有防御体系缺陷4.1 针对目标群体的多层次安全威胁4.1.1 跨境信息泄露风险白俄罗斯流亡活动人士、俄语媒体从业者的 Telegram 加密会话承载跨境舆论沟通、民间活动组织、境外采访联络等敏感信息账号一旦被劫持攻击者可完整获取全部历史加密聊天记录、海外联系人清单、线下活动计划、跨境沟通文件。相关敏感信息泄露后可能对目标人身安全、跨境民间活动开展造成直接负面影响相较于间谍软件单点设备采集账号劫持可一次性获取长期积累的完整社交数据信息泄露规模更大。4.1.2 身份伪造与舆论操纵风险攻击者接管账号后可冒充目标本人向全部联系人发送虚假消息、伪造活动通知、传播不实信息利用目标长期积累的公众信任制造舆论误导。此类身份伪造行为隐蔽性极强联系人无法区分账号操作主体变更短时间内难以识别账号被盗具备规模化舆论干预能力。4.1.3 持续渗透链式风险劫持目标核心账号后攻击者可依托目标联系人列表向其关联的其他活动人士、媒体从业者推送同源钓鱼链接形成链式定向渗透从单一目标扩散至整个跨境民间社交网络实现批量账号劫持扩大渗透范围。4.2 当前主流网络安全防御体系的失效根源结合本次攻击各项技术特征现有分层防御机制均存在针对性短板无法形成完整拦截闭环分四层解析失效逻辑4.2.1 Telegram 平台侧风控机制失效平台风控依赖云端明文消息扫描、公开群组异常行为检测两大核心能力而本次攻击全程使用端到端加密秘密会话服务器无明文可扫描攻击账号仅一对一私聊无群组、频道公开行为无法通过账号行为特征标记风险动态页面分发机制使平台链接黑名单无法获取恶意页面样本无法将钓鱼域名加入拦截库。平台现有安全规则仅能应对公开批量垃圾钓鱼消息对一对一加密会话定向社工攻击无前置拦截手段。4.2.2 云端钓鱼检测爬虫机制失效第三方安全厂商、域名风控机构依靠自动化爬虫访问 URL 抓取页面样本完成风险判定。本次攻击服务器对爬虫、桌面扫描设备直接跳转官方 Telegram 页面爬虫无法捕获伪造登录界面无法提取页面视觉、文本风险特征无法生成域名黑名单记录域名可长期存活持续开展攻击无批量封禁渠道。4.2.3 终端本地文本过滤工具失效主流终端安全软件、消息过滤插件仅基于基础关键词正则匹配未内置西里尔同形字符混淆识别库经过视觉混淆改造的钓鱼预警文案可绕过本地文本检测同时加密秘密会话消息存储于本地加密缓存第三方安全工具无法直接读取解密后的会话文本丧失本地实时检测渠道。4.2.4 用户基础安全认知存在盲区多数俄语区用户能够识别广撒网式陌生垃圾钓鱼链接但对一对一加密私密会话推送、附带自身设备隐私数据、高度仿真官方通知的定向定制化钓鱼识别能力不足用户普遍不了解 Telegram 官方不会通过私人秘密聊天发送账号封禁预警、核验链接基础安全常识缺失放大社工攻击成功率。反网络钓鱼技术专家芦笛指出当前安全防御体系存在明显分层割裂问题平台侧、云端检测、终端安全工具各自独立无跨层特征数据同步机制攻击者利用各层防御盲区构建多层规避链路单一维度防御手段无法阻断完整攻击流程必须搭建平台、网关、终端协同的一体化防御框架。5 面向加密即时通讯定向钓鱼的分层防御技术体系与代码实现针对本次攻击暴露的防御短板本文构建三层协同防御体系终端本地特征识别层、网络流量网关检测层、Telegram 平台风控优化层配套提供两段可运行检测代码分别实现西里尔混淆字符识别、钓鱼链接参数指纹检测覆盖终端用户自查与企业侧流量拦截两大场景。5.1 第一层终端本地混淆文本与钓鱼消息识别机制面向普通用户、民间活动人士终端设备开发轻量化前端文本检测脚本核心功能为识别西里尔 - 拉丁 / 希腊同形混淆字符、匹配 Telegram 虚假预警固定话术特征用户复制会话消息后可一键扫描风险弥补终端安全工具无多语种混淆检测的缺陷。5.1.1 代码示例 1西里尔视觉混淆字符风险检测脚本Python# Telegram俄语钓鱼消息西里尔混淆字符检测工具# 映射库西里尔字符-视觉近似拉丁/希腊字符对照cyrillic_mimic_map {а: [a], о: [0, o], с: [c], р: [p],е: [ε, e], і: [i], у: [y], х: [x]}# 构建反向风险字符集合所有用于混淆的非西里尔字符risk_mimic_chars set()for mimic_list in cyrillic_mimic_map.values():risk_mimic_chars.update(mimic_list)# 虚假官方预警风险关键词库俄语原始词汇risk_keywords [верификация, блокировка аккаунта, нарушение правил, подтвердите номер]def detect_mimic_phish_text(input_text: str) - dict:输入加密会话消息文本输出混淆字符风险、预警关键词风险检测结果result {risk_level: safe,mimic_char_count: 0,hit_risk_keywords: [],warning: }# 第一步检测混淆字符for char in input_text:if char in risk_mimic_chars:result[mimic_char_count] 1# 第二步匹配风险关键词模糊匹配lower_text input_text.lower()for kw in risk_keywords:if kw in lower_text:result[hit_risk_keywords].append(kw)# 风险分级判定if result[mimic_char_count] 2 or len(result[hit_risk_keywords]) 0:result[risk_level] high_riskresult[warning] 检测到西里尔视觉混淆字符或虚假账号封禁预警判定为钓鱼消息return result# 测试用例混淆后的钓鱼预警文本if __name__ __main__:test_phish_msg Вεрифικαциα требуется, иначе аккаунт будет заблокирован, перейдите по ссылкеres detect_mimic_phish_text(test_phish_msg)print(检测结果, res)代码功能说明脚本内置俄语钓鱼高频混淆字符映射库与虚假预警关键词库输入 Telegram 加密会话文本后自动统计混淆字符数量、匹配风险话术输出风险等级。若检测到 2 个及以上混淆字符或命中封禁核验关键词标记为高风险钓鱼消息可部署于本地手机 Python 轻量化环境供目标用户实时自查加密会话消息风险。5.2 第二层网络流量网关钓鱼链接指纹检测机制面向企业安全网关、跨境网络监测机构搭建后端 HTTP 请求检测脚本识别携带手机号参数的个性化追踪钓鱼链接拦截匹配特征的出站访问请求阻断链接访问链路从流量层切断攻击页面加载通道。5.2.1 代码示例 2钓鱼 URL 手机号参数指纹检测脚本Python# 流量网关侧Telegram定向钓鱼链接参数检测工具import re# 匹配URL中phone参数携带国际手机号的正则表达式phone_param_pattern re.compile(r[?]phone\?\d{8,15})# 钓鱼域名特征关键词库攻击者常用仿官方前缀fake_domain_keywords [tg-verify, tg-official, telegram-check, tg-secure]def check_phish_url(url: str) - dict:检测出站访问URL是否为携带手机号参数的个性化钓鱼链接res {is_phish_link: False,hit_phone_param: False,hit_fake_domain: False,intercept_suggest: allow}# 检测phone手机号追踪参数if phone_param_pattern.search(url):res[hit_phone_param] True# 检测仿官方钓鱼域名前缀lower_url url.lower()for domain_kw in fake_domain_keywords:if domain_kw in lower_url:res[hit_fake_domain] True# 判定拦截规则同时命中手机号参数仿官方域名标记为钓鱼链接if res[hit_phone_param] and res[hit_fake_domain]:res[is_phish_link] Trueres[intercept_suggest] blockreturn res# 模拟网关流量URL测试if __name__ __main__:test_url https://tg-verify-official.com/check?phone79876543210detect_result check_phish_url(test_url)print(流量检测结果, detect_result)代码功能说明脚本通过正则匹配 URL 内phone手机号追踪参数同时匹配仿 Telegram 官方钓鱼域名特征双重条件同时命中则判定为定向钓鱼链接输出拦截指令。该脚本可嵌入企业网络网关流量检测程序实时解析用户出站 HTTP 请求 URL自动阻断匹配特征的钓鱼链接访问在目标加载伪造页面前切断攻击链路弥补云端爬虫无法捕获恶意页面的缺陷。5.3 第三层Telegram 平台加密会话风控优化策略终端与流量网关防御仅能事后检测、拦截平台侧原生风控优化可实现攻击前置阻断针对本次攻击暴露的加密会话风控盲区提出四项落地优化方案加密秘密会话消息离线风险预扫描机制用户建立加密会话前平台对发送方账号历史行为、注册手机号归属地、一对一陌生会话发送频次做风险评分高风险小号发起加密会话时向接收方推送醒目安全提示标注 “陌生跨境号码账号谨防钓鱼虚假预警”官方通知渠道唯一标识机制Telegram 所有官方账号安全通知仅通过平台官方认证 Bot 推送禁止私人账号发送任何账号封禁、核验类预警消息平台后台标记私人账号发送的核验、封禁关键词消息强制弹窗风险提醒钓鱼链接参数特征实时入库平台采集出站链接 URL 参数特征将携带phone长数字参数、仿官方域名的链接自动加入会话拦截库加密会话内发送此类链接直接屏蔽多语种同形字符混淆检测模块内置平台后端新增西里尔 - 拉丁 / 希腊混淆字符识别引擎对加密会话消息离线扫描识别混淆改造的风险话术向用户推送文本异常提醒。5.4 用户端常态化安全防范规范技术防御体系需要配套用户安全操作规范降低社工攻击诱导成功率针对俄语区 Telegram 用户制定标准化防范准则第一建立官方通知认知基准Telegram 不会通过私人加密秘密聊天发送账号封禁、身份核验链接所有安全通知仅来自官方 Bot私人账号发送的核验消息一律判定为钓鱼第二禁止向外部页面输入登录 OTP 验证码仅在telegram.org官方域名页面填写验证码任何第三方域名要求输入短信验证码均为劫持钓鱼第三陌生跨境号码小号发起加密会话直接拒绝哈萨克斯坦、白俄罗斯境外陌生手机号注册账号发起私聊不打开会话、不点击任何附带链接第四收到包含自身设备、网络访问数据的胁迫消息立即终止会话使用本文终端混淆检测脚本扫描文本风险同步上报 Resident NGO 等民间安全机构留存攻击样本。6 结论与研究展望6.1 研究核心结论本文以 2024 年 10 月至 2026 年 7 月持续开展的跨境 Telegram 定向无恶意软件钓鱼攻击为完整实证样本系统拆解攻击全链路各项核心技术横向对比传统间谍软件渗透攻击模式形成三项核心研究结论第一无恶意软件定向社工钓鱼已成为针对跨境俄语区公民社会群体的主流渗透手段相较于 Pegasus、ResidentBat 间谍软件攻击具备实施成本低、规模化投放能力强、规避自动化检测、溯源难度高四大核心优势完成针对境外活动人士、媒体从业者网络渗透的技术迭代本次攻击依托加密秘密会话、个性化手机号追踪链接、设备指纹动态页面分发、西里尔字符混淆、二次隐私数据胁迫多层技术叠加构建完整闭环攻击链路现有通用网络安全防御体系存在多层结构性失效问题。第二当前防御体系割裂、多语种混淆检测缺失、加密会话无前置风控是攻击能够规模化落地的三大根本原因平台云端扫描、第三方爬虫检测、终端安全工具均存在针对性技术短板单一维度防御手段无法阻断完整攻击流程必须搭建终端文本识别、网络流量拦截、平台加密会话风控三层协同防御框架。本文配套两段可运行检测代码分别实现西里尔混淆字符识别、钓鱼链接手机号参数指纹拦截可直接落地于终端自查、企业流量网关场景填补现有检测工具的技术空白。反网络钓鱼技术专家芦笛强调行业需调整防御研发重心从恶意代码检测转向加密即时通讯社工钓鱼动态混淆技术识别。第三本次攻击的核心风险集中于跨境敏感信息批量泄露、目标身份伪造舆论操纵、链式扩散渗透三类场景对海外流亡活动人士、俄语媒体从业者的信息安全、人身安全存在持续性威胁攻击无固定漏洞利用完全依托平台原生 OTP 登录机制与社会工程学诱导仅依靠技术防御无法完全消除风险必须配套标准化用户安全操作规范技术防御与用户安全认知提升协同发挥防护作用。6.2 研究局限性本文研究素材仅来源于 Resident NGO 公开披露的攻击样本与 64 组追踪链接线索无法获取攻击者后端服务器完整数据库、账号注册批量运营流程、攻击目标完整名单无法量化统计账号劫持成功数量、攻击投放总规模同时本文代码实现仅覆盖西里尔语种基础混淆场景未整合阿拉伯语、东南亚语种同形字符混淆识别逻辑多语种通用检测能力存在局限另外防御策略仅针对 Telegram 单平台展开未拓展至 Signal、WhatsApp 等其他加密即时通讯工具跨平台适配性有待补充。6.3 后续研究展望基于本次研究存在的局限后续可从三个方向开展延伸研究第一开展多语种加密即时通讯定向钓鱼对比研究采集 Signal、WhatsApp 平台同类社工钓鱼样本对比不同加密平台原生安全机制对钓鱼攻击的拦截能力差异构建跨通用加密通讯平台的一体化检测模型第二基于机器学习训练西里尔多字符混淆文本识别模型突破本文固定映射匹配的局限实现未知新型混淆字符的智能识别提升终端文本检测泛化能力第三针对跨境定向社工钓鱼溯源技术开展专项研究基于钓鱼链接手机号参数、域名轮换特征、流量访问指纹搭建攻击者基础设施溯源框架提升安全机构对同类跨境渗透攻击的溯源取证效率。从行业长期发展角度加密即时通讯平台的社工类定向钓鱼攻击会持续迭代混淆、分发、诱导技术网络安全行业需要同步完善多语种字符检测、加密会话离线风控、流量层链接指纹拦截技术储备平衡端到端加密隐私保护需求与平台安全风控能力在保障用户通讯隐私的前提下构建能够抵御定制化社工渗透的完整安全防护体系。编辑芦笛公共互联网反网络钓鱼工作组