微軟被噴300+次：伊朗黑客用IE10古董瀏覽器當敲門磚

3月3日，以色列某市政府的IT管理員在日志里發現了一串異常登錄。IP來自Tor，用戶代理顯示是Internet Explorer 10——一款微軟已經停止支持11年的瀏覽器。他沒當回事，以為是某個還在用老爺機的同事。

10天后，第二波攻擊來了。3月23日，第三波。等到Check Point的研究人員把三波數據拼在一起，才發現這不是散兵游勇，而是一場針對中東微軟365租戶的密碼噴洗戰役，波及300多家組織。攻擊者被評估為與伊朗有關聯，而他們的武器，是弱密碼和一臺偽裝成Windows 7的瀏覽器。

三波攻擊的時間線：不是掃描，是戰役

Check Point的報告把活動鎖定在三個具體日期：3月3日、3月13日、3月23日。這種脈沖式節奏不像自動化蠕蟲的隨機掃描，更像有人坐在作戰室里按下發令槍。

目標分布很集中：以色列超過300家，阿聯酋25家以上，歐洲、美國、英國、沙特也有零星命中。政府實體、市政部門、能源集團、私企都在射程內。研究人員特別提到，以色列市政機構的集中 targeting 可能與3月的 kinetic operations（動能行動）和轟炸毀傷評估有關——換句話說，黑客在幫導彈找坐標。

密碼噴洗（password spraying）的原理并不復雜。傳統暴力破解是一個賬號試一萬個密碼，噴洗是一萬個賬號各試幾個常用密碼。前者容易觸發賬戶鎖定，后者像撒網捕魚，單點噪音極低，但覆蓋面極大。

這次戰役的特殊之處在于IP層的偽裝策略。攻擊者沒有租用固定服務器，而是大量使用Tor出口節點，且頻繁輪換。Tor本身已經夠難追蹤，他們還讓請求攜帶IE10 on Windows 7的User-Agent——一款2013年發布的瀏覽器，跑在2009年發布的操作系統上。

這種古董組合在2026年的流量里反而成了隱身衣?，F代安全工具看到IE10通常會直接放行或標記為"遺留系統"，而不是"威脅指標"。攻擊者把過時技術變成了認知干擾彈。

從Tor到商業VPN：登錄后的地理魔術

第一階段是掃描，第二階段是滲透。當噴洗命中有效憑證后，攻擊者的行為模式立刻切換。

Check Point發現，完整的登錄流程會轉移到Windscribe和NordVPN的商業IP段，且地理定位被特意選在以色列境內。這種設計有兩個功能：一是繞過基于地理位置的訪問限制，二是讓"外國登錄警報"這個常見安全機制失效——系統看到的是本土IP，風控閾值自然放寬。

整個過程沒有投放惡意軟件。攻擊者用合法憑證走進前門，直接訪問郵箱、文檔、管理工具。這種"無載荷入侵"（fileless intrusion）讓傳統殺毒軟件無從發力，因為根本沒有文件可掃描。

一個值得注意的細節是攻擊者的耐心。三波之間間隔10天，足夠讓第一波的熱度降溫，也讓防御方的警覺性回落。這種節奏控制說明操作者熟悉安全行業的注意力周期——新聞熱度平均7天，他們給多了3天緩沖。

Check Point的評估是"中度確信"伊朗來源，依據有三：目標 sector 的選擇、區域聚焦程度、以及登錄日志里的技術行為模式。這不是法庭級別的證據鏈，但在威脅情報領域，已經足夠讓防御方調整優先級。

IE10偽裝：技術考古學的武器化

為什么選IE10？不是情懷，是工程計算。

現代企業環境里，IE10的合法流量已經趨近于零。微軟在2020年徹底終止了對IE10的支持，Windows 7也在2020年停止安全更新。理論上，這兩樣東西不應該出現在任何重視安全的網絡里。

但"不應該"和"不存在"是兩回事。很多組織的遺留系統、工業控制終端、或者某些只兼容舊版瀏覽器的內部應用，仍在運行這類配置。安全工具為了兼容性，往往會對IE10流量降低審查強度，甚至直接列入白名單。

攻擊者利用的正是這種"仁慈的忽視"。他們把攻擊流量偽裝成最需要被容忍的遺留系統，讓防御者在"誤殺合法業務"和"放過潛在威脅"之間左右為難。

更微妙的是心理層面。當一個安全分析師看到IE10的User-Agent，他的第一反應通常是"又是那臺該死的老財務機"，而不是"這可能是一次國家級別的入侵"。認知負荷被轉移了，響應延遲由此產生。

Tor節點的頻繁輪換則解決了另一個問題：IP信譽。單一Tor出口很容易被列入黑名單，但Tor網絡有數千個節點，且動態變化。攻擊者把噴洗請求分散到大量短壽命IP上，讓基于IP的封鎖策略變成打地鼠游戲。

密碼噴洗的防御困境：當噪聲本身就是信號

這次戰役暴露了一個結構性難題：身份攻擊的檢測閾值正在被人為壓低。

傳統上，安全團隊依賴"異常"來發現威脅。但密碼噴洗的設計目標就是讓每次嘗試看起來都正?！_的協議、正確的端點、只是密碼錯了。當這種錯誤以數萬次的規模分散在數萬個賬號上，單點異常值趨近于零。

Check Point建議的防御策略包括：多因素認證（MFA）、禁用傳統認證協議、監控跨地理區域的登錄模式。但這些措施的實施成本并不對稱。一家跨國企業部署MFA可能需要數月協調，而攻擊者調整噴洗字典只需要幾小時。

更現實的約束在于遺留系統。很多政府機構和能源集團的核心業務系統建于MFA普及之前，改造意味著停機、預算、和政治風險。攻擊者顯然研究了這種組織惰性，把目標精準鎖定在"高價值、低敏捷"的 sector。

以色列市政機構成為重點目標，可能還涉及情報價值的即時性。市政系統掌握的基礎設施數據——電網節點、供水管網、交通流量——在沖突時期可以直接轉化為打擊坐標。3月的攻擊窗口與地區緊張局勢升級重合，這不是巧合，是戰役設計的一部分。

微軟365作為攻擊入口的選擇同樣經過計算。它不像VPN或防火墻那樣有專門的硬件設備保護，而是作為云服務暴露在公網。一旦憑證泄露，攻擊者獲得的不僅是郵箱，而是整個微軟生態的訪問權限：SharePoint文檔、Teams聊天記錄、Azure管理門戶。

Check Point沒有披露具體的數據泄露規模，但強調了攻擊者的"訪問能力"（access capability）。在威脅情報的語境里，這比已確認的數據丟失更危險——你不知道他們看了什么，只能假設最壞情況。

這場戰役的尾聲是開放的。三波攻擊之后，同一批攻擊者是否會在4月繼續？IE10的偽裝策略會被其他組織復制嗎？當防御方開始過濾IE10流量時，攻擊者會不會切換到更古老的User-Agent——比如IE6，或者Netscape Navigator？

你的組織日志里，最近有沒有出現過讓你以為是"遺留系統"的異常登錄？