Zestaw phishingowy firmy Tycoon wykorzystuje wiele wektorów ataku
Społeczność zajmująca się cyberbezpieczeństwem wyraziła poważne obawy w związku z niedawno odkrytym zestawem narzędzi do phishingu o nazwie Tycoon 2FA. Odkryty przez zespół Sekoia Threat Detection & Research (TDR) w październiku 2023 r. i omówiony w opublikowanym dzisiaj poradniku, zestaw ten wykorzystuje technikę Adversary-in-The-Middle (AiTM) i jest rzekomo używany przez wiele podmiotów zagrażających do prowadzenia szeroko rozpowszechnionych ataków i skuteczne ataki.
Z ustaleń Sekoia wynika, że platforma Tycoon 2FA jest aktywna co najmniej od sierpnia 2023 r., a firma od momentu jej odkrycia pilnie monitoruje związaną z nią infrastrukturę. Ich analiza wskazuje, że Tycoon 2FA to jeden z najpowszechniejszych zestawów phishingowych AiTM – w okresie od października 2023 r. do lutego 2024 r. wykryto ponad 1100 nazw domen.
Aby skutecznie przeprowadzić swoje szkodliwe działania, zestaw phishingowy Tycoon 2FA składa się z kilku etapów. Początkowo ofiary są kierowane za pośrednictwem załączników do wiadomości e-mail lub kodów QR na stronę zawierającą wyzwanie Cloudflare Turnstile, którego celem jest powstrzymanie niepożądanego ruchu. Po ukończeniu tego wyzwania użytkownicy napotykają fałszywą stronę uwierzytelniania firmy Microsoft, na której zbierane są ich dane uwierzytelniające. Zestaw następnie przekazuje te informacje do legalnego interfejsu API uwierzytelniania firmy Microsoft, przechwytując pliki cookie sesji w celu ominięcia uwierzytelniania wieloczynnikowego (MFA).
Nowa wersja Tycoon zawiera istotne zmiany
W swoim najnowszym poradniku Sekoia odnotowuje wykrycie w lutym 2024 r. nowej wersji gry Tycoon 2FA, zawierającej istotne zmiany w kodach JavaScript i HTML, zwiększając w ten sposób możliwości phishingu. Godne uwagi zmiany obejmują wykluczenie wyzwania Cloudflare Turnstile z początkowej strony HTML i konsolidację wcześniejszych oddzielnych pobrań JavaScript w etapy obsługujące implementację 2FA i transmisję danych. Co więcej, zestaw wykorzystuje wyrafinowaną taktykę ukrywania się, opóźniając udostępnianie złośliwych zasobów do czasu rozwiązania wyzwania Cloudflare i używając losowo nazwanych adresów URL w celu uniknięcia wykrycia.
Sekoia ostrzega również o potencjalnych powiązaniach między Tycoon 2FA a innymi znanymi platformami phishingowymi, sugerując wspólną infrastrukturę i prawdopodobnie wspólne bazy kodów, wzywając do wzmożonej czujności wobec takich zagrożeń.
