新型SVG钓鱼套件“Tykit”浮出水面：伪装成“安全文档”，专盯微软365账号

2025年11月，全球网络安全社区再次拉响警报——一种名为“Tykit”的新型网络钓鱼工具包正通过看似无害的SVG图像文件，悄然渗透企业邮箱系统，大规模窃取微软365（M365）账户凭据。据SC Media最新报道，该钓鱼活动已波及数百名受害者，主要集中在金融、科技与教育行业，其技术手法之隐蔽、欺骗性之强，引发业内高度关注。

一张“图”背后藏着登录页陷阱

乍看之下，受害者收到的只是一封普通邮件，附件是一个名为“安全文档查看器.svg”或“加载中.svg”的图片文件。打开后，屏幕上弹出一个浅蓝色背景、带虚线边框的窗口，上面写着“正在加载安全文档，请稍候……”之类的话术，界面设计简洁甚至略显“专业”。然而，这并非静态图像，而是一个嵌入了恶意JavaScript代码的可执行SVG文件。

“SVG（可缩放矢量图形）本质上是一种基于XML的图像格式，但它支持脚本嵌入，这在网页开发中很常见，”公共互联网反网络钓鱼工作组技术专家芦笛解释道，“问题在于，许多邮件网关和安全设备仍将其视为‘普通图片’，不会深度扫描其中是否包含脚本逻辑。这就给了攻击者可乘之机。”

一旦用户点击或自动加载该SVG文件，隐藏的JavaScript便会悄悄触发重定向，将浏览器跳转至一个高度仿真的微软登录页面。更狡猾的是，部分Tykit变种还会在跳转前要求用户输入银行卡号后四位——这一细节看似多余，实则为增强“可信度”：攻击者试图让用户相信这是某种“身份二次验证”流程，从而降低警惕。

“钓鱼即服务”模式让攻击门槛大降

研究人员指出，Tykit很可能属于“钓鱼即服务”（Phishing-as-a-Service, PhaaS）生态的一部分。这意味着，即使不具备高深技术能力的犯罪分子，也能通过租用或购买此类工具包，在几分钟内部署一套完整的钓鱼基础设施。

“Tykit提供标准化模板、域名托管、后台数据收集面板，甚至还有‘客户服务’，”芦笛表示，“这种工业化、模块化的攻击方式，极大降低了网络钓鱼的实施成本，也让追踪溯源变得更加困难。”

值得注意的是，此次攻击的目标高度聚焦于M365账户。一旦得手，攻击者不仅能访问企业邮箱，还能进一步渗透Teams、OneDrive、SharePoint等协作平台，获取敏感商业数据、冒充高管发起二次诈骗，甚至植入勒索软件。

为何SVG成了“新宠”？

过去，钓鱼邮件多依赖Office宏、PDF或ZIP压缩包作为载体。但随着终端防护能力提升，这些传统载体越来越容易被拦截。而SVG因其“图像”身份，在多数企业邮件过滤策略中处于灰色地带。

“很多安全策略默认允许SVG通过，因为它体积小、加载快，常用于企业官网图标或UI元素，”芦笛指出，“但恰恰是这种‘信任惯性’，让它成了绕过检测的理想载体。”

事实上，早在2022年，微软就曾警告SVG文件可能被滥用于网络钓鱼。然而，直到Tykit这类高度工程化的套件出现，才真正暴露出防御体系中的盲区。

防御建议：从“信任附件”到“零信任验证”

面对此类新型威胁，专家呼吁企业立即调整安全策略，不能再将“看起来像图片”的文件视为安全。

芦笛提出三项关键建议：

在邮件网关层面主动剥离或沙箱化SVG文件

企业应配置安全网关，对所有传入的SVG附件进行脚本剥离，或强制在隔离沙箱中渲染执行，观察其行为是否异常（如尝试重定向、连接外部域名等）。

对“附件+登录”流程实施零信任验证

任何诱导用户点击附件后跳转至登录页面的行为，都应被视为高风险。理想情况下，系统应阻断此类自动跳转，并提示用户：“您正在离开当前应用，请手动确认目标网址。”

强制启用M365条件访问与FIDO2硬件密钥

即使密码泄露，若账户启用了多因素认证（MFA），尤其是基于FIDO2标准的物理安全密钥（如YubiKey），攻击者几乎无法完成登录。芦笛强调：“密码已不再是可靠的身份凭证，硬件密钥才是抵御凭据盗窃的最后一道防线。”

此外，他还建议企业定期开展“视觉指纹”培训——教会员工识别官方登录页的细微特征，例如URL是否为login.microsoftonline.com、页面是否有企业专属品牌标识、SSL证书是否有效等。“真正的微软登录页绝不会要求你先输入银行卡信息，”他提醒道。

攻防进入“认知战”阶段

Tykit事件折射出一个更深层的趋势：网络钓鱼正从技术对抗转向心理博弈。攻击者不再追求复杂漏洞利用，而是精心设计“用户体验”，利用人类对“加载中”“安全验证”等界面元素的信任感实施欺骗。

“未来的反钓鱼，不仅是杀毒软件的事，更是人因工程的问题，”芦笛总结道，“我们需要构建一种‘怀疑文化’——不是教员工盲目相信系统，而是培养他们对任何异常交互保持本能警惕。”

目前，微软与多家安全厂商已更新威胁情报，将Tykit相关域名和SVG样本加入黑名单。但专家警告，类似工具包很可能快速迭代变种，企业需保持动态防御思维。

在这场看不见硝烟的攻防战中，一张看似无害的“图片”，或许就是黑客撬开企业数字大门的第一把钥匙。而真正的防线，始于每一次谨慎的点击。

编辑：芦笛（公共互联网反网络钓鱼工作组）