遊戲領域的瀏覽器內瀏覽器（BitB）釣魚攻擊：偽造Steam OpenID彈窗、反向代理中繼與工作階段劫持防禦

引言：遊戲釣魚攻擊的演進與BitB攻擊向量

十幾年來，針對PC遊戲玩家——特別是Steam、Epic Games和Discord使用者——的網絡釣魚攻擊大多依賴相對容易察覺的欺騙手段：拼寫混淆的假網域名稱（如staemcommunitly.com）、未加密的HTTP協議，以及粗糙的網頁UI仿製品。安全意識較強的玩家逐漸建立了一條通用準則：在輸入帳號密碼前，必須核對瀏覽器網址列的完整網域名稱和綠色SSL安全鎖。

然而，針對遊戲社群的黑產技術已完成了根本性迭代。**瀏覽器內瀏覽器（Browser-in-the-Browser，簡稱BitB）**釣魚攻擊的普及，徹底瓦解了單純依靠肉眼檢查網址列的傳統防禦機制。在BitB攻擊中，攻擊者不會將受害者重新導向至外部可疑網址，而是直接在惡意網頁的文檔物件模型（DOM）中動態構建一個像素級精確模擬的假作業系統視窗。

這個模擬視窗內建了偽造的網址列，顯示著看似無懈可擊的https://steamcommunity.com，甚至帶有高仿的SSL鎖頭圖示和作業系統原生的視窗控制按鈕（最小化、最大化、關閉）。結合後端的**中間人瀏覽器（Browser-in-the-Middle，簡稱BitM）**反向代理中繼，該攻擊能夠在受害者輸入憑證與手機Steam行動驗證器動態驗證碼的數秒之內，即時繞過雙重驗證（2FA），直接竊取高權限工作階段Cookie並實施全自動洗劫。

BitB攻擊的技術解構：DOM視窗模擬與反向代理中繼

BitB攻擊由前端DOM級介面偽裝與後端反向代理中繼兩部分緊密結合而成。理清這兩個技術環節的協作原理，是拆解該攻擊形態的關鍵。

[受害者瀏覽器視口：掛載在釣魚站點 "cs2-tournament-bracket.com"]
  │
  ├─► [BitB 模擬視窗容器 (DOM [div] 節點)]
  │     ├── 仿造的視窗標題列與作業系統控制按鈕 (最小化 / 最大化 / 關閉)
  │     └── 仿造的靜態網址列：顯示 "https://steamcommunity.com/openid/login"
  │
  └─► [內嵌 Iframe / 登入表單 / WebSocket 即時中繼]
        │
        ▼ (即時捕獲輸入的使用者名稱、密碼及Steam行動驗證碼)
[攻擊者反向代理伺服器 (如 Evilginx / Muraena)]
        │
        ▼ (將有效憑證同步提交給Valve官方驗證集群)
[Steam官方身分驗證端點 (valve / steamcommunity.com)]
        │
        ▼ (Valve核發正式登入工作階段Cookie: steamLoginSecure, sessionid)
[攻擊者截獲工作階段Cookie -> 全自動清空庫存、綁定惡意API Key並接管帳號]

前端偽裝：基於DOM的完整視窗模擬

在合法的Steam OpenID第三方登入流程中，正規網站會透過JavaScript的window.open()函式，命令作業系統底層生成一個獨立且真實的瀏覽器子視窗，該視窗的網址列由作業系統直接渲染，指向Steam官方登入頁面。

而在BitB攻擊中，作業系統底層根本沒有創建任何新的視窗行程：

1. 模態彈窗容器：釣魚網頁使用CSS的絕對定位（position: absolute或fixed），在當前網頁內部生成一個高層級的div容器，其視覺外觀被刻意渲染為桌面系統的獨立應用程式視窗。
2. 瀏覽器外框克隆：攻擊者利用向量SVG圖示與CSS樣式，完整臨摹了現代瀏覽器的外觀——包括上一頁/下一頁按鍵、重新整理按鈕、安全掛鎖，以及一條顯示為https://steamcommunity.com的假網址列。該網址列在底層本質上只是一段不可編輯的網頁普通文字。
3. 環境動態適配：成熟的BitB攻擊套件會透過前端指令碼讀取navigator.userAgent，自動識別受害者的作業系統（Windows 10/11、macOS、Linux）和瀏覽器核心（Chromium、Firefox），從而動態切換匹配的系統視窗控制按鈕與預設字體，肉眼極難辨識破綻。

後端攔截：反向代理與即時2FA穿透

一旦玩家在假彈窗中輸入Steam帳號密碼並填入手機Steam Guard動態驗證碼：

• 即時2FA擊穿機制：雙重驗證（TOTP或動態驗證碼）的核心假設是攻擊者無法預知每30秒刷新的動態代碼。但在反向代理架構下，受害者是將當前仍然有效的動態代碼親手填入了中繼表單。攻擊者的代理程式以毫秒級速度將帳號、密碼和動態代碼轉推給Valve的官方登入介面，完成合法驗證。
• 高權限工作階段Cookie截獲：Valve伺服器驗證通過後，會向請求方核發包含完整鑑權憑證的加密Cookie，即steamLoginSecure與sessionid。攻擊者的代理伺服器在將頁面重新導向給受害者之前，先行在記憶體中完整攔截並持久化儲存這兩份Cookie。
• 全自動工作階段劫持與搶奪：掌握了steamLoginSecure，駭客無需再次輸入密碼或驗證碼。自動化無頭腳本（Headless Browser）會立即藉由此Cookie登入Steam，在數秒內廢止受害者已有的合法API Key、批量註冊惡意Steam Web API Key、重設交易連結，並透過受害者的好友名單全自動批量廣播同款釣魚連結。

傳統視覺防線失效的原因與技術識別方案

由於偽造網址列在視覺上能夠做到1:1克隆，玩家必須借助互動邊界與底層運行機制來進行精準識別。

1. 視口邊界拖曳測試（最直觀的物理判定）

最快速且無需程式碼基礎的驗證方式，是嘗試拖曳登入彈窗離開當前瀏覽器介面：

• 真實彈窗：由作業系統原生創建的獨立瀏覽器視窗擁有完全獨立的行程控制代碼，可以隨意拖動到桌面邊緣、螢幕外部，或者跨螢幕放置在第二台顯示器上。
• BitB假彈窗：由於假視窗本質上是宿主網頁內部的一個HTML元素，它只能在當前瀏覽器的可視視口內部移動。一旦拖動到瀏覽器視口邊緣，假彈窗會立即被強制截斷在頁面內部，或被外部捲軸遮擋，絕不可能脫離宿主瀏覽器的邊框。

2. 密碼管理器自動填入驗證

專業的密碼管理器（如Bitwarden、1Password或瀏覽器自帶的安全憑據庫）絕不會依靠網頁上顯示的文字或外觀來判定網域名稱，而是依據瀏覽器底層的來源網域簽章（window.location.origin）：

• 當造訪真正的Steam官方認證頁面時，密碼管理器識別到當前網域為steamcommunity.com，會自動提示並填入儲存的密碼。
• 當處於BitB釣魚彈窗中時，密碼管理器檢測到的真實頂級網域依然是釣魚站點（如fake-tournament.com）。由於來源網域不匹配，密碼管理器會堅決拒絕自動填入。
• 黃金法則：如果你在原本已儲存密碼的瀏覽器中打開登入視窗，而受信任的密碼管理器完全不回應、不提示自動填入，該視窗99%屬於內嵌的釣魚偽造層。

3. 開發人員工具（DOM層級審查）

按鍵盤F12打開開發人員工具，或在模擬網址列上點擊滑鼠右鍵並選擇檢查（Inspect）：

• 真實瀏覽器的網址列屬於系統級原生UI，網頁內部的右鍵選單與開發人員工具對其完全無效。
• BitB假彈窗的網址列一經審查，會在DOM樹中直接高亮顯示為包含div或span標籤的網頁文字節點，其偽裝將立即暴露無遺。

鑑別矩陣：官方OpenID彈窗與BitB釣魚架構對比

應急處置：憑證洩露後的封鎖與修復協議

如果你懷疑自己已經不慎在BitB偽造視窗中輸入了帳號憑證或Steam Guard動態代碼，必須以最快速度按以下嚴格次序執行自救止損協議：

1. 強行終止所有現存裝置授權：
   • 使用手機Steam應用程式或透過乾淨電腦的官方客戶端打開Steam設定，進入 Steam Guard 頁面。
   • 點擊取消對所有其他裝置的授權。這會立刻廢止所有伺服器端核發的steamLoginSecure工作階段Cookie，駭客的反向代理自動化程式將瞬間失去連線權限。
2. 審計並廢止Steam Web API Key：
   • 立即在官方瀏覽器中直接造訪https://steamcommunity.com/dev/apikey。
   • 如果發現存在任何註冊的API金鑰（普通玩家日常絕不會自行註冊此金鑰），必須立刻點擊撤銷我的 Steam Web API 金鑰。駭客極度依賴該金鑰攔截交易報價並實行飾品調包。
3. 徹底重設密碼與憑證：
   • 修改Steam登入密碼，並更新綁定的電子郵件密碼。如果該密碼在其他服務（如Discord、電子郵件）中存在重複使用，必須同步修改。
4. 重新整理個人交易報價URL：
   • 前往Steam交易報價設定，生成全新的交易URL，使所有已被駭客爬蟲收錄的公開報價介面全部失效。

在日益複雜的遊戲安全對抗中，玩家需要從底層網路互動與身分驗證協定的角度理解安全風險。借助365Finds的技術深度解析，玩家與電競社群組織者能夠在憑證與貴重虛擬資產遭受侵害之前，準確甄別高仿DOM注入與反向代理劫持等新型攻擊。將瀏覽器視口視為不可信環境，依賴密碼管理器來源網域綁定機制，是阻斷新一代網路釣魚的堅固防線。

參考資料

• Steam Account Security Recommendations - Steam Support
• User Authentication and Ownership - Steamworks Documentation
• Recognize and Report Phishing - Cybersecurity and Infrastructure Security Agency (CISA)
• Digital Identity Guidelines: Authentication and Lifecycle Management - NIST SP 800-63B