Tycoon2FA l'hameçonnage du code de l'appareil vole les jetons OAuth et transforme le MFA en une porte d'accès permanente

La récupération et l'évolution de Tycoon2FA - un kit d'hameçonnage spécialisé dans l'évitement de l'authentification - confirme une tendance dangereuse : les opérations criminelles non seulement résistent aux actions policières, mais réutilisent et perfectionnent des techniques pour exploiter les flux d'authentification légitimes. Des recherches récentes montrent que ses opérateurs ont ajouté un support pour l'attaque dite "code device" et qu'ils profitent de liens de suivi légitimes, tels que ceux de Trust, pour rediriger les victimes vers les chaînes de livraison dans le navigateur qui finissent par autoriser les appareils contrôlés par les attaquants dans les comptes Microsoft 365.

Le vecteur est simple en apparence mais efficace en pratique : la victime reçoit un courriel avec un lien de suivi qui passe par des services légitimes et plusieurs couches d'opuscado JavaScript ; lorsque vous atteignez la page frauduleuse, vous êtes invité à copier un code de périphérique et à le coller dans microsoft.com / dialutin, le véritable écran Microsoft. Lorsque la victime complète le flux, Microsoft émet des jetons OAuth que l'attaquant peut utiliser pour accéder au courrier, au calendrier et au stockage en nuage sans avoir besoin de voler des identifiants traditionnels ou de briser le MFA localement. Pour un attaquant, cela équivaut à un accès persistant et difficile à détecter.

Cette méthode a augmenté au cours des derniers mois : les entreprises de sécurité ont signalé une augmentation exponentielle des campagnes d'hameçonnage de code d'appareil et une prolifération de kits et de services PhaaS (Physing- a- Service) qui automatisent la campagne, réduisant ainsi la barrière technique pour les acteurs moins spécialisés. Une analyse de l'augmentation de cette technique se trouve dans le rapport de Proofpoint sur l'évolution du phishing vice-code Voilà., alors que la reconstruction et le durcissement de Tycoon2FA après le retrait ont été documentés par la Sécurité anormale dans le présent rapport.

Une caractéristique pertinente du kit est sa capacité à camoufler devant des chercheurs et des outils automatisés : il détecte des environnements d'analyse tels que le Selenium, Playwright ou burpsuite, bloque les gammes associées aux fournisseurs de cloud et aux services de sécurité, et redirige tout trafic suspect vers des pages légitimes pour rendre l'enquête difficile. Cette capacité d'évasion augmente le coût et la complexité de la détection, et explique pourquoi les opérateurs reprennent leurs activités après les mesures d'interruption de la police.

Pour les équipes de sécurité et les gestionnaires d'identité, les implications sont claires : les contrôles axés exclusivement sur la protection des pouvoirs ne sont plus suffisants. Il est essentiel d'examiner et de renforcer les politiques de consentement d'OAuth, de limiter l'utilisation du flux d'appareils lorsqu'il n'est pas nécessaire et de forcer les examens administratifs pour des applications tierces. Microsoft offre des capacités telles que l'évaluation continue de l'accès (EAC) et des politiques d'accès conditionnel qui aident à atténuer ce type d'abus; son adoption devrait être accélérée dans les environnements d'entreprise.

Parallèlement aux modifications de configuration, il existe des mesures opérationnelles concrètes : surveiller l'identifiant d'entrée (avant Azure AD) pour l'authentification via le code de périphérique _, suivre l'utilisation du "Microsoft Authentification Broker" et les signaux inhabituels tels que les Utilisateur-Agents de Node.js, et vérifier les appareils enregistrés et les consentements d'application. Lorsqu'une activité suspecte est détectée, il est approprié de révoquer les jetons et les sessions, d'enlever les dispositifs non reconnus et de forcer la reconnaissance des applications avec moins de privilège.

La réutilisation de services légitimes (p. ex. liens de suivi de la plateforme de sécurité du courrier) en tant que vecteurs de redirection pose un autre défi : les fournisseurs de tels outils peuvent finir par être utilisés à leur insu ou par des clients engagés. Si votre organisation détecte une utilisation malveillante d'un fournisseur de suivi ou de livraison, contactez immédiatement le fournisseur et partagez des preuves; la coordination entre les victimes, les fournisseurs et l'équipement d'intervention accélère l'atténuation et l'élimination possible du contenu malveillant.

Pour les utilisateurs finaux, la prévention passe par l'éducation et la prudence: méfiez-vous des courriels inattendus qui demandent à copier des codes et les coller sur une autre page, confirmez la véracité des factures ou des avis en contactant l'émetteur par des canaux indépendants, et priorisez l'utilisation des clés FIDO2 ou des méthodes MFA qui ne dépendent pas de la copie / frappe des codes dans la mesure du possible. Bien que le MFA reste crucial, ce type d'attaque montre que tous les facteurs secondaires n'offrent pas la même protection contre les régimes malveillants de consentement OAuth.

Les équipes qui ont besoin du CIO et des références techniques pour la détection et la réponse peuvent consulter les ressources publiées par les chercheurs; eSentire, qui a étudié la chaîne Tycoon2FA et ses nouvelles couches d'évasion, a publié des détails et des recommandations techniques dans son analyse. disponible ici et il existe des listes d'indicateurs publiées dans les dépôts publics qui facilitent l'intégration dans les outils de détection et les blocages automatiques. L'adoption de ces signaux, l'adaptation des politiques de consentement et le renforcement de la télémétrie d'identité sont des mesures urgentes pour réduire l'impact de ces campagnes.

Enfin, la leçon est que la guerre contre le phishing moderne exige une combinaison d'amélioration technique, de gouvernance d'identité et de coopération sectorielle: sans contrôles plus stricts sur OAuth et sans réponse coordonnée entre fournisseurs et organisations, des kits tels que Tycoon2FA continueront de trouver des moyens de recycler les infrastructures légitimes pour fraude.