Tycoon2FA-Phishing kapert Microsoft-365-Konten

Die Phishing-Plattform Tycoon2FA ist mit einer neuen Angriffsmethode zurückgekehrt, die Microsoft-365-Konten über Gerätecode-Phishing kapert. Forscher warnen, dass die aktualisierte Kampagne Angreifern Zugriff auf Konten ermöglicht, ohne Passwörter direkt zu stehlen. Dadurch werden die Angriffe schwieriger zu erkennen und zu stoppen.

Tycoon2FA hatte bereits zuvor Aufmerksamkeit erregt, weil die Plattform Multi-Faktor-Authentifizierung mithilfe fortschrittlicher Adversary-in-the-Middle-Techniken umgehen konnte. Sicherheitsexperten erklären nun, dass die Betreiber die Plattform nach jüngsten Strafverfolgungsmaßnahmen gegen die Infrastruktur modernisiert haben.

Angreifer missbrauchen Microsofts Geräteauthentifizierung

Laut Forschern nutzen die neuesten Tycoon2FA-Kampagnen den legitimen OAuth-Geräteautorisierungsprozess von Microsoft aus. Die Angreifer bringen Opfer dazu, Authentifizierungscodes auf Microsofts echter Geräte-Login-Seite einzugeben.

Sobald die Opfer die Anfrage bestätigen, erhalten die Angreifer gültige Authentifizierungstokens, die mit dem angegriffenen Microsoft-365-Konto verknüpft sind. Dadurch können Bedrohungsakteure Zugriff erhalten, ohne Passwörter direkt zu stehlen.

Die Forscher erklären, dass die Angriffe häufig mit Phishing-E-Mails beginnen, die als Voicemail-Benachrichtigungen oder Rechnungsmitteilungen getarnt sind. Opfer klicken auf Links, die zunächst über vertrauenswürdige Dienste weitergeleitet werden, bevor sie auf von Angreifern kontrollierter Infrastruktur landen.

Da Nutzer während des Prozesses mit legitimen Microsoft-Seiten interagieren, wirken die Angriffe deutlich glaubwürdiger als traditionelle Phishing-Kampagnen.

MFA-Schutz wird schwieriger durchzusetzen

Sicherheitsforscher warnen, dass Gerätecode-Phishing große Herausforderungen für klassische MFA-Schutzmaßnahmen schafft. Anstatt Zugangsdaten während gefälschter Sitzungen abzufangen, überzeugen die Angreifer die Opfer dazu, den schädlichen Zugriff selbst zu autorisieren.

Diese Technik ermöglicht es Angreifern, viele herkömmliche MFA-Schutzmaßnahmen zu umgehen und gleichzeitig dauerhaften Zugriff über OAuth-Tokens aufrechtzuerhalten.

Die aktualisierte Tycoon2FA-Plattform zielt Berichten zufolge auf den Microsoft Authentication Broker ab, der die Tokenverwaltung über Microsoft-365-Dienste hinweg übernimmt. Erfolgreiche Angriffe könnten Zugriff auf Outlook, Teams, OneDrive, SharePoint und andere Unternehmensressourcen ermöglichen.

Forscher warnen zunehmend davor, dass Token-Diebstahl für Angreifer wertvoller geworden ist als Passwortdiebstahl, da gültige Tokens in manchen Fällen auch nach Passwortänderungen weiterhin Zugriff ermöglichen.

Tycoon2FA kehrte nach Infrastruktur-Zerschlagung zurück

Anfang dieses Jahres zerschlugen internationale Strafverfolgungsbehörden Teile der Tycoon2FA-Infrastruktur während einer koordinierten Operation von Europol und Microsoft. Die Behörden beschlagnahmten Hunderte von Domains, die mit der Phishing-Plattform verbunden waren.

Forscher berichten jedoch, dass die Betreiber ihre Infrastruktur schnell wieder aufgebaut und die Phishing-Aktivitäten innerhalb weniger Wochen fortgesetzt haben.

Die neuesten Kampagnen verfügen Berichten zufolge über stärkere Schutzmechanismen gegen Analyseversuche, aktualisierte Infrastrukturmuster und verbesserte Filtersysteme, die der Erkennung durch Forscher und Sicherheitswerkzeuge entgehen sollen.

Die Forscher beobachteten außerdem einen zunehmenden Missbrauch legitimer Cloud-Dienste und vertrauenswürdiger Plattformen während der Angriffe. Bedrohungsakteure verstecken Phishing-Aktivitäten immer häufiger in normal wirkendem Netzwerkverkehr, um die Erkennung zu erschweren.

Forscher warnen vor wachsendem OAuth-Missbrauch

Sicherheitsexperten gehen davon aus, dass sich Phishing-as-a-Service-Plattformen schnell weiterentwickeln, da Cyberkriminelle zunehmend fortschrittliche Techniken zum Missbrauch von Authentifizierungssystemen einsetzen.

Forscher empfehlen Unternehmen, unnötige OAuth-Geräteautorisierungsprozesse einzuschränken, Benutzerzustimmungen zu begrenzen und Conditional-Access-Richtlinien zu stärken, wo dies möglich ist.

Organisationen sollten außerdem ungewöhnliche Geräteauthentifizierungsaktivitäten genau überwachen und Verfahren zum Widerruf von Tokens verbessern. Sicherheitsteams konzentrieren sich zunehmend auf verdächtiges OAuth-Verhalten, da Angreifer sich immer weiter vom traditionellen Passwortdiebstahl entfernen.

Fazit

Tycoon2FA-Phishingangriffe werden immer raffinierter, da Cyberkriminelle Gerätecode-Phishing und den Missbrauch von OAuth-Tokens einsetzen, um Microsoft-365-Konten zu kompromittieren.

Forscher warnen, dass diese Kampagnen zeigen, wie sich Phishing-Angriffe über den klassischen Diebstahl von Zugangsdaten hinaus weiterentwickeln. Da Angreifer zunehmend Authentifizierungstokens und vertrauenswürdige Login-Prozesse ins Visier nehmen, werden Unternehmen wahrscheinlich unter wachsenden Druck geraten, ihre Identitätssicherheit und Zugriffsüberwachung zu stärken.