Tycoon2FA ritorna con nuova tecnica di phishing

Microsoft e altre aziende avevano smantellato la piattaforma Tycoon2FA con il coordinamento di Europol all’inizio di marzo. Dopo meno di un mese è tornata nuovamente online. Ora è più resistente ai possibili interventi delle forze dell’ordine e offre una nuova tecnica di phishing per ottenere il controllo gli account Microsoft 365.

Supporto per il device-code phishing

Tycoon2FA è una piattaforma PaaS (Phishing-as-a-Service). In seguito all’operazione internazionale di marzo erano stati sequestrati 330 domini, inclusi quelli usati per il pannello di controllo e le pagine di login fasulle. Circa 20 giorni dopo, l’infrastruttura è stata ripristinata e le attività sono tornate al livello precedente all’azione delle forze dell’ordine.

All’inizio di maggio è stata rafforzata la resilienza con sei livelli offuscamento. Recentemente è stata aggiunta una nuova tecnica al kit di phishing che permette di effettuare attacchi device-code. I cybercriminali inviano una richiesta di autorizzazione al fornitore del servizio (Microsoft in questo caso) e inoltrano il codice generato alla vittima. Se quest’ultima inserisce il codice nella pagina di login legittima viene autorizzato il dispositivo dei cybercriminali che, quindi, prendono il controllo dell’account Microsoft 365.

L’attacco inizia quando la vittima clicca su un URL di Trustifi presente nell’email di phishing (solitamente una falsa fattura). Trustifi è un servizio legittimo di sicurezza per email. Dopo vari passaggi, l’utente finisce su una pagina fasulla di Microsoft con CAPTCHA.

L’ignara vittima deve inserire il codice mostrato nella pagina all’indirizzo microsoft.com/devicelogin. In questo modo viene effettuata l’autenticazione multi-fattore, ma il dispositivo collegato all’account è quello dei cybercriminali, che prendono il controllo dell’account.

Tycoon2FA include anche una protezione contro la scansione automatica dei tool di sicurezza e può rilevare sandbox, crawler AI e VPN. Il consiglio è disattivare l’autenticazione tramite codice se non necessario, limitare i permessi e impostare i diritti di amministratore per l’uso delle app di terze parti.