本文对2020年至2023年间收集的1300个真实世界中的钓鱼工具包（Phishkits）进行了深度分析，旨在揭示其架构和操作动态。钓鱼攻击一直是攻击者绕过现代防御、渗透关键系统的常用手段，而Phishkits在其中扮演了关键角色，它们通常用于快速生成具有迷惑性的钓鱼页面、执行逃避策略，并与远程攻击者建立后门以窃取数据。研究团队从架构设计、源代码实现、通信通道以及泄露数据的性质等多个维度对样本进行了剖析。他们识别出两类主要的逃避机制：动态重定向和针对来访流量的属性分析，用于伪装和辨别爬虫与真实受害者。同时，研究发现这些工具包高度依赖现有的即时通讯服务（如Telegram等）来传输窃取到的数据，而非使用传统C2基础设施。尽管存在这些高级功能，但分析表明，真正具备复杂功能的Phishkits占比很小，有284个（占21.8%）甚至没有任何逃避机制。此外，虽然各工具包在具体实现细节上存在差异，但维持钓鱼页面正常功能的核心组件高度相似甚至完全相同。这种高水平的代码复用和对已知技巧的依赖，使得大量钓鱼工具包的行为模式可预测，这为安全团队在大规模场景下自动检测和防御此类攻击提供了便利。该研究为理解现代Phishkits的演化提供了宝贵的数据支撑，并指出了防御方可以利用的共性弱点。