Tycoon2FA das Phishing des Gerätecodes raubt Tokens OAuth und verwandelt den MFA in eine permanente Zugangstür

Die Erholung und Evolution von Tycoon2FA - ein Phishing-Kit spezialisiert auf die Vermeidung von Authentifizierung - bestätigt einen gefährlichen Trend: kriminelle Operationen nicht nur polizeilichen Handlungen widerstehen, sondern Techniken wiederverwenden und verfeinern, um legitime Authentifizierungsströme auszunutzen. Die jüngste Forschung zeigt, dass ihre Betreiber Unterstützung für den sogenannten "Gerätecode"-Angriff hinzugefügt haben und dass sie von legitimen Follow-up-Links, wie z.B. Trust, profitieren, um die Opfer in Lieferketten im Browser umzuleiten, die von den Angreifern in Microsoft 365-Konten kontrollierte Autorisierungsgeräte enden.

Der Vektor ist einfach im Aussehen, aber effektiv in der Praxis: Das Opfer erhält eine E-Mail mit einem Follow-up-Link, der durch legitime Dienste und mehrere Schichten von opuscado JavaScript durchläuft; wenn Sie die betrügerische Seite erreichen, werden Sie aufgefordert, einen Gerätecode zu kopieren und in microsoft.com / devilutin, den realen Microsoft-Bildschirm einfügen. Wenn das Opfer den Fluss abschließt, sendet Microsoft Tokens OAuth aus, dass der Angreifer verwenden kann, um auf Post-, Kalender- und Cloud-Speicher zugreifen, ohne dass traditionelle Anmeldeinformationen stehlen oder die MFA lokal brechen müssen. Für einen Angreifer bedeutet dies einen anhaltenden und schwierigen Zugang zu erkennen.

Diese Methode hat sich in den letzten Monaten erhöht: Sicherheitsfirmen haben eine exponentielle Zunahme der Phishing-Kampagnen im Gerätecode und eine Verbreitung von PhaaS-Kits und -Diensten (Physing- as- a- Service) gemeldet, die die Kampagne automatisieren und die technische Barriere für weniger spezialisierte Akteure reduzieren. Eine Analyse des Anstiegs dieser Technik findet sich im Bericht von Proofpoint über die Entwicklung des Vize-Code-Phishings. Hier., während die Nachaufnahme Rekonstruktion und Härtung von Tycoon2FA von Abnormal Security dokumentiert wurde in diesem Bericht.

Ein relevantes Merkmal des Kits ist seine Fähigkeit, vor Forschern und automatisierten Werkzeugen zu tarnen: es erfasst Analyseumgebungen wie Selenium, Playwright oder Burpsuite, Blöcke Bereiche, die mit Cloud-Lieferanten und Sicherheitsdienstleistungen verbunden sind, und leitet alle verdächtigen Verkehr auf legitime Seiten, um die Untersuchung schwierig zu machen. Diese Evasionskapazität erhöht die Kosten und Komplexität der Erkennung und erklärt, warum die Betreiber nach polizeilichen Unterbrechungsmaßnahmen wieder in die Tätigkeit zurückkehren.

Für Sicherheitsteams und Identitätsmanager sind die Auswirkungen klar: Kontrollen, die ausschließlich auf den Schutz von Anmeldeinformationen ausgerichtet sind, reichen nicht mehr aus. Es ist wichtig, die OAuth-Einwilligungsrichtlinien zu überprüfen und zu verschärfen, die Nutzung des Geräteflusses zu begrenzen, wenn es nicht notwendig ist und administrative Überprüfungen für Drittanwender erforderlich sind. Microsoft bietet Fähigkeiten wie Continuous Access Evaluation (CAE) und bedingte Zugriffsrichtlinien, die helfen, diese Art von Missbrauch zu mildern; seine Annahme sollte in Unternehmensumgebungen beschleunigt werden.

Parallel zu Konfigurationsänderungen gibt es konkrete betriebliche Maßnahmen: Überwachung der Eingabe-ID (vor Azure AD) Protokolle zur Authentifizierung über Geräte _ Code, Verfolgung der Verwendung des "Microsoft Authentication Broker" und ungewöhnliche Signale wie Node.js' User-Agents, und Audit registrierte Geräte und Applikationszugriffe. Wenn verdächtige Aktivität erkannt wird, ist es angebracht, Token und Sitzungen zu widerrufen, nicht erkannte Geräte zu entfernen und ein Rekonsent von Anwendungen mit weniger Privileg zu zwingen.

Die Wiederverwendung von legitimen Dienstleistungen (z.B. Postsicherheitsplattform-Tracking-Links) als Umleitungsvektoren stellt eine weitere Herausforderung dar: Die Anbieter solcher Tools können ohne ihr Wissen oder durch engagierte Kunden enden. Wenn Ihre Organisation schädliche Verwendung eines Tracking- oder Lieferanbieters erkennt, kontaktieren Sie den Lieferanten sofort und teilen Sie Beweise; Koordination zwischen Opfern, Lieferanten und Antwortgeräten beschleunigt die Minderung und mögliche Entfernung von schädlichen Inhalten.

Für Endbenutzer geht die Vorbeugung durch Bildung und Prudence: Unerwartete E-Mails, die um Codes zu kopieren und auf einer anderen Seite einzufügen, bestätigen die Richtigkeit der Rechnungen oder Mitteilungen durch Kontakt mit dem Emittenten über unabhängige Kanäle, und priorisieren die Verwendung von FIDO2-Schlüsseln oder MFA-Methoden, die nicht davon abhängen, Codes zu kopieren / zu treffen, wenn möglich. Obwohl MFA entscheidend bleibt, zeigt diese Art von Angriff, dass nicht alle zweiten Faktorfaktoren den gleichen Schutz gegen schädliche OAuth-Einwilligungssysteme bieten.

Die Teams, die IOC und technische Referenzen für Erkennung und Antwort benötigen, können die von den Forschern veröffentlichten Ressourcen konsultieren; eSentire, die die Tycoon2FA-Kette und ihre neuen Schichten von Evasion untersucht, veröffentlichte Details und technische Empfehlungen in ihrer Analyse hier verfügbar und es gibt Listen von Indikatoren in öffentlichen Repositorien veröffentlicht, die die Integration in Erkennungstools und automatische Blockaden erleichtern. Die Annahme dieser Signale, die Anpassung der Zustimmungspolitik und die Stärkung der Identitätstelemetrie sind dringende Schritte, um die Auswirkungen dieser Kampagnen zu reduzieren.

Letztlich ist die Lehre, dass der Krieg gegen moderne Phishing eine Kombination aus technischer Verbesserung, Identitäts-Governance und sektoraler Zusammenarbeit erfordert: ohne strengere Kontrollen über OAuth und ohne eine koordinierte Reaktion zwischen Lieferanten und Organisationen werden Kits wie Tycoon2FA weiterhin Wege finden, legitime Infrastruktur für Betrug zu recyceln.