Phishing en tant que service: le boom Tycoon 2FA et sa chute dans une opération mondiale

Le marché de la criminalité numérique est de plus en plus similaire à une startup : il y a des produits d'abonnement, des panneaux de contrôle cloud, du support et des mises à jour. L'un des exemples les plus inquiétants de cette professionnalisation criminelle a été Tycoon 2FA, un kit d'hameçonnage offert comme un service qui pendant environ deux ans a facilité les attaques massives du type adverse-in-the-middle (AiTM), capable de capturer à la fois les codes d'identification et d'authentification multifactorielle et les cookies de session qui permettent à un attaquant de maintenir l'accès.

Les autorités et plusieurs sociétés de cybersécurité ont annoncé une opération coordonnée pour démanteler l'infrastructure de ce service. Selon Europol, l'action a été entreprise avec l'élimination de 330 domaines qui supportait les pages d'hameçonnage et les panneaux de commande de service, ce qui est un coup majeur à la capacité opérationnelle du réseau. La note officielle peut être lue dans la Europol.

Tycoon 2FA n'est pas né en kit. C'était un produit commercial basé sur des abonnements, avec des plans de quelques centaines de dollars pour un accès temporaire à des panneaux de gestion mensuels où les opérateurs pouvaient concevoir et gérer des campagnes complètes. Le panneau offrait des modèles, des fichiers appâts, une logique de redirection et des mesures de victime; il permettait également de télécharger ce qui a été capturé ou de le renvoyer en temps réel à des services de messagerie tels que Telegram. Cette offre rend la création d'attaques sophistiquées même accessibles aux acteurs peu qualifiés.

Les chiffres que les chercheurs gèrent illustrent l'ampleur du problème. Sociétés de sécurité comme Point d'épreuve et Tendances Micro ont documenté d'énormes volumes de courriels et de campagnes attribués au kit: des millions de messages en un mois et des dizaines de milliers de domaines actifs. Microsoft, qui a suivi les opérateurs sous l'alias Storm-1747, a indiqué qu'il a bloqué plus de 13 millions de courriels malveillants liés à ce service. Le nombre d'incidents connexes et d'organisations touchées indique qu'il ne s'agit pas d'attaques isolées, mais d'une opération industrielle.

Qu'est-ce qui a rendu Tycoon 2FA si efficace? Techniquement, il s'est appuyé sur la méthode AiTM : un intermédiaire entre la victime et le service légitime qui interceptait les informations au moment de l'authentification. Ainsi, en plus du mot de passe, les codes MFA et les cookies de session ont été saisis, permettant à l'agresseur de prendre en compte même lorsque la victime a changé son mot de passe - à moins que les sessions et les jetons aient été explicitement révoqués. Microsoft explique plus en détail le fonctionnement de cette technique dans son analyse: Dans Tycoon2FA.

Mais ce n'était pas seulement la technique AiTM : le kit incluait de multiples mécanismes d'évacuation pour rendre la détection et le retrait difficiles. De la surveillance des impulsions, des anti-bots et des impressions de navigateur aux CAPTCHA auto-organisés, code JavaScript opusqué et pages de leurres dynamiques. En outre, les opérateurs ont enregistré des domaines extrêmement éphémères et utilisé un large éventail d'extensions de domaines pour accommoder l'infrastructure, en profitant de services tels que Cloudflare pour protéger ces adresses. Cette stratégie de rotation rapide a rendu les listes de verrouillage obsolètes en quelques heures.

Une autre caractéristique inquiétante est la facilité avec laquelle les agresseurs ont augmenté leur impact : Tycoon 2FA a permis la technique connue sous le nom de Jumping ATO, qui est d'utiliser un compte déjà engagé pour envoyer des liens d'hameçonnage au carnet d'adresses légitimes de la victime. Le résultat est que le courrier semble provenir d'un contact de confiance et la possibilité de tromper un récepteur grandit de façon significative. Proofpoint découvre comment cette tactique multiplie la portée des campagnes dans son matériel sur l'opération: Cible de perturbation Tycoon 2FA.

Le phénomène des kits d'hameçonnage emballés n'est pas nouveau, mais Tycoon 2FA a montré combien cette offre peut être professionnalisée et devenir une plateforme lucrative pour la fraude. Les articles qui analysent le marché des kits d'hameçonnage expliquent que ces paquets sont conçus pour être flexibles et accessibles, avec des fonctionnalités allant des outils de base aux outils avancés qui n'étaient auparavant disponibles que pour des groupes sophistiqués. Un bon contexte technique et commercial est disponible en analyse, par exemple Kaspersky Securelist et dans des rapports spécialisés de sociétés de renseignement telles que Intel 471.

Les conséquences pour les organisations et les utilisateurs sont directes et potentiellement dévastatrices : l'accès au courrier d'entreprise entraîne des fuites, le déploiement de ransomwares ou l'engagement de services essentiels dans l'éducation, la santé ou l'administration publique. Les chercheurs de Proofpoint ont partagé des données alarmantes sur la prévalence des tentatives de responsabilisation et le fait que de nombreux incidents ont affecté des comptes avec MFA activé, ce qui prouve qu'il ne suffit pas de marquer la double boîte de facteurs si le vecteur d'attaque est conçu pour l'intercepter.

Le fonctionnement de la suppression des domaines et des panneaux est une victoire importante, mais cela ne signifie pas que le problème a disparu. Ces plateformes réapparaissent généralement sous d'autres marques, avec des améliorations et des tactiques adaptées aux blocages précédents. Par conséquent, les mesures de protection devraient être à la fois techniques et organisationnelles: en plus des contrôles avancés du courrier et de la détection, il est essentiel de revoir la façon dont les sessions et les jetons sont gérés, d'appliquer la révocation de l'accès lorsqu'il y a suspicion d'engagement et de promouvoir des facteurs d'authentification résistants à l'AiTM, tels que les clés physiques basées sur la FIDO, dans la mesure du possible.

Pour les utilisateurs et les responsables de la sécurité, la leçon est double : la conscience des attaques, surtout lorsqu'elles semblent provenir de contacts connus, reste une défense essentielle, et l'architecture d'identité doit considérer des scénarios d'interception réalistes. Des ressources et des analyses supplémentaires sur la désarticulation des services et les menaces d'AiTM sont disponibles dans les rapports techniques cités par des organisations telles que Onde de confiance, Tendances Micro et Point d'épreuve.

En bref, le coup porté à Tycoon 2FA montre que la coopération entre le secteur public et le secteur privé peut arrêter de vastes plates-formes criminelles, mais rappelle également que l'adversaire évolue rapidement. Rester informé, examiner les politiques de session et d'authentification et appliquer des solutions de protection avancées sont des étapes essentielles pour ne pas convertir un compte engagé dans une catastrophe majeure.