Phishing als Service: der Tycoon 2FA-Boom und sein Rückgang in einer globalen Operation

Der digitale Kriminalitätsmarkt ist zunehmend ähnlich wie ein Startup: Es gibt Abonnement-Produkte, Cloud Control Panels, Support und Updates. Eines der besorgniserregendsten Beispiele dieser kriminellen Professionalisierung war Tycoon 2FA, ein Phishing-Kit als Service angeboten, der seit etwa zwei Jahren massive Angriffe des schädlichen In-the-Middle-Typs (AiTM) ermöglichte, sowohl Anmeldeinformationen als auch Multifaktor-Authentifizierungscodes und Session-Cookies zu erfassen, die einen Angreifer erlauben, Zugriff aufrecht zu erhalten.

Die Behörden und mehrere Cybersicherheitsunternehmen haben eine koordinierte Operation angekündigt, um die Infrastruktur dieses Dienstes abzubauen. Nach Ansicht von Europol wurde die Aktion mit der Beseitigung von rund 330 Domains die phishing-Seiten und Service Control Panels unterstützt, die ein großer Schlag für die operative Kapazität des Netzwerks ist. Die offizielle Note kann in der Europol.

Tycoon 2FA wurde nicht als Kit geboren. Es war ein kommerzielles Produkt auf der Grundlage von Abonnements, mit Plänen von einigen hundert Dollar für temporären Zugang zu monatlichen Management-Panels, wo die Betreiber komplette Kampagnen erstellen und verwalten könnte. Das Panel bot Vorlagen, Köderdateien, Umleitungslogik und Opfermetriken an; es erlaubte auch, das, was erfasst wurde oder senden Sie es in Echtzeit zu Messaging-Diensten wie Telegram. Dieses Angebot macht die Schaffung von anspruchsvollen Angriffen sogar zugänglich für Schauspieler mit wenig technischen Fähigkeiten.

Die Zahlen, die Forscher behandeln, illustrieren die Größe des Problems. Sicherheitsunternehmen wie Nachweis und Trend Micro haben riesige Mengen von E-Mails und Kampagnen dokumentiert, die dem Kit zugeschrieben wurden: Millionen von Nachrichten in einem Monat und Zehntausende von aktiven Domains. Microsoft, die die Betreiber unter dem alias Storm-1747 verfolgte, gab an, dass es mehr als 13 Millionen schädliche E-Mails im Zusammenhang mit diesem Dienst blockiert. Die Zahl der damit verbundenen Vorfälle und betroffenen Organisationen weist darauf hin, dass es sich dabei nicht um isolierte Angriffe, sondern um eine industrielle Operation handelt.

Was hat Tycoon 2FA so effektiv gemacht? Technisch stützte sie sich auf die AiTM-Methode: ein Vermittler zwischen dem Opfer und dem legitimen Dienst, der Informationen zum Zeitpunkt der Authentifizierung abgefangen hat. So wurden neben dem Passwort auch MFA-Codes und Session-Cookies erfasst, die es dem Angreifer erlauben, auch bei einem geänderten Passwort des Opfers zu berücksichtigen - es sei denn, Sitzungen und Token wurden ausdrücklich widerrufen. Microsoft erläutert den Betrieb dieser Technik in ihrer Analyse näher: In Tycoon2FA.

Aber es war nicht nur die AiTM-Technik: das Kit integriert mehrere Fluchtmechanismen, um Erkennung und Einnahme schwierig zu machen. Von der Überwachung von Pulsen, Anti-Bots und Browser-Prints bis hin zu selbstgehosteten CAPTCHAs, opuscated JavaScript Code und dynamischen Decoy-Seiten. Darüber hinaus verzeichneten die Betreiber extrem kurzlebige Domains und nutzten eine breite Mischung aus Domain-Erweiterungen, um die Infrastruktur zu beherbergen, indem sie Dienste wie Cloudflare nutzen, um diese Adressen zu schützen. Diese schnelle Rotation Strategie machte die Schlosslisten in wenigen Stunden veraltet.

Eine weitere störende Funktion war die Leichtigkeit, mit der die Angreifer ihre Auswirkungen aufsahen: Tycoon 2FA erlaubte die Technik als ATO Jumping bekannt, die ein bereits engagiertes Konto verwenden soll, um Phishing-Links an das legitime Adressbuch des Opfers zu senden. Das Ergebnis ist, dass die Mail von einem vertrauenswürdigen Kontakt kommen scheint und die Möglichkeit, einen Empfänger zu täuschen, wächst deutlich. Proofpoint entdeckt, wie diese Taktik den Umfang der Kampagnen in ihrem Material über die Operation multipliziert: Disruptionsziele Tycoon 2FA.

Das Phänomen der gepackten Phishing Kits ist nicht neu, aber Tycoon 2FA zeigte, wie viel dieses Angebot professioneller werden kann und eine lukrative Plattform für Betrug werden. Artikel, die den Phishing Kits-Markt analysieren, erklären, dass diese Pakete flexibel und zugänglich gestaltet sind, mit Funktionalitäten von grundlegenden bis fortgeschrittenen Werkzeugen, die bisher nur für anspruchsvolle Gruppen verfügbar waren. Ein guter technischer und Marktkontext ist in der Analyse wie Kaspersky Securelist und in spezialisierten Berichten von Geheimdiensten wie Artikel 471.

Die Folgen für Organisationen und Nutzer sind direkt und potenziell verheerend: Firmen-Mail-Zugang, der zu Lecks führt, Bereitstellung von Ransomware oder Verpflichtungen von kritischen Dienstleistungen in Bildung, Gesundheit oder öffentliche Verwaltung. Proofpoint-Forscher teilten alarmierende Daten über die Prävalenz von Rechenschaftsversuchen und die Tatsache, dass viele Vorfälle die Konten mit aktiviertem MFA beeinflussten, was beweist, dass es nicht genug ist, das Doppelfaktorfeld zu markieren, wenn der Angriffsvektor darauf ausgelegt ist, es abzufangen.

Die Operation von Domains und Panels ist ein wichtiger Sieg, aber es bedeutet nicht, dass das Problem verschwunden ist. Diese Plattformen erscheinen in der Regel wieder unter anderen Marken, mit Verbesserungen und Taktiken angepasst an die vorherigen Blockaden. Daher sollten Schutzmaßnahmen sowohl technischer als auch organisatorischer Art sein: Neben fortschrittlichen Post- und Erkennungskontrollen ist es von entscheidender Bedeutung, die Art und Weise zu überprüfen, wie Sitzungen und Token verwaltet werden, den Widerruf des Zugangs anzuwenden, wenn es einen Verdacht auf Engagement gibt und AiTM-resistente Authentifizierungsfaktoren, wie z.B. FIDO-basierte physische Schlüssel, soweit möglich zu fördern.

Für Benutzer und Sicherheitsbeamte ist die Lektion zweifach: das Bewusstsein für Angriffe, besonders wenn sie aus bekannten Kontakten kommen, bleibt eine wesentliche Verteidigung, und Identitätsarchitektur muss realistische Wahrnehmungssszenarien berücksichtigen. Zusätzliche Ressourcen und Analysen zur Service-Disartikulation und AiTM-Bedrohungen sind in technischen Berichten erhältlich, die von Organisationen wie z.B. Trustwave, Trend Micro und Nachweis.

Kurz gesagt, der Schlag an Tycoon 2FA zeigt, dass die öffentlich-private Zusammenarbeit weitreichende kriminelle Plattformen stoppen kann, aber auch daran erinnert, dass sich der Gegner schnell entwickelt. Die Einhaltung von Informationen, die Überprüfung von Sitzungs- und Authentifizierungsrichtlinien und die Anwendung fortschrittlicher Schutzlösungen sind wesentliche Schritte, um kein Konto zu einem großen Desaster zu konvertieren.