Tycoon2FA et phishing AiTM : contourner la MFA

Introduction : pourquoi c’est important

Les kits de phishing AiTM comme Tycoon2FA changent le modèle de risque pour les connexions Microsoft 365 et autres SaaS : même lorsque les utilisateurs ont activé la MFA, les attaquants peuvent encore compromettre des comptes en interceptant des cookies/tokens de session lors de la connexion. Pour les administrateurs IT, cela signifie que « réinitialiser le mot de passe » ne suffit souvent pas : la réponse à incident doit inclure la révocation des sessions/tokens et le durcissement des contrôles d’authentification.

Quoi de neuf / principaux enseignements de l’analyse de Microsoft

Tycoon2FA a permis un contournement de la MFA à très grande échelle

• Actif depuis août 2023, Tycoon2FA est devenu l’un des écosystèmes PhaaS les plus répandus.
• Microsoft a observé des campagnes diffusant des dizaines de millions de messages de phishing et atteignant plus de 500 000 organisations chaque mois dans la plupart des secteurs.
• Le kit fournissait du proxying AiTM : il capturait les identifiants et interceptait les cookies de session tout en relayant les invites/codes MFA vers le service réel.

Une expérience « clé en main » a abaissé la barrière à l’entrée

Tycoon2FA était vendu via des canaux comme Telegram/Signal et proposait un panneau d’administration web pour :

• Sélectionner des modèles d’usurpation de marque (Microsoft 365, Outlook, OneDrive, SharePoint, Gmail)
• Configurer des chaînes de redirection, des leurres et une logique de routage
• Générer des fichiers d’appât malveillants (par ex. livraisons basées sur PDF/HTML/EML/QR code)
• Suivre l’interaction des victimes et exfiltrer les artefacts capturés (y compris via des bots Telegram)

Évasion et infrastructure à rotation rapide

Microsoft met en avant des techniques importantes d’anti-analyse et d’évasion, notamment :

• Contrôles anti-bot, empreinte du navigateur, CAPTCHA auto-hébergé et obfuscation du code
• Domaines à courte durée de vie (souvent 24–72 heures) avec des TLD variés et peu contraignants
• Usage extensif d’une infrastructure hébergée via Cloudflare et rotation rapide pour garder une longueur d’avance sur les blocages

Activité de perturbation

La DCU de Microsoft, en collaboration avec Europol et des partenaires, a facilité une perturbation de l’infrastructure et des opérations de Tycoon2FA — une étape importante, même si les défenseurs doivent s’attendre à des copycats et à des reconfigurations.

Impact sur les administrateurs IT et les utilisateurs finaux

• La MFA seule n’est pas suffisante contre l’AiTM lorsqu’elle repose sur des tokens de session réutilisables.
• La récupération de compte doit inclure la révocation des sessions/tokens ; sinon, les attaquants peuvent persister même après des réinitialisations de mot de passe.
• Les charges de travail email et collaboration (Exchange Online, SharePoint/OneDrive) restent des cibles prioritaires en raison de données à forte valeur et d’opportunités de mouvement latéral.

Actions / prochaines étapes

1. Prioriser l’authentification résistante au phishing (d’abord pour les utilisateurs à haut risque) : évoluer vers FIDO2/passkeys, l’authentification par certificat, ou d’autres méthodes résistantes au phishing lorsque c’est possible.
2. Durcir Conditional Access : réduire la valeur des replays de tokens (contrôles de sign-in risk, exigences de conformité des appareils, restrictions de localisation, et contrôles de session plus stricts pour les rôles privilégiés).
3. Revoir les runbooks d’incident : s’assurer que la réponse inclut revoke sign-in sessions, la désactivation des comptes compromis, et la rotation des identifiants/clés selon les besoins.
4. Renforcer les contrôles d’entrée email : imposer des protections anti-spoofing, utiliser des règles de flux de messagerie lorsque cela est approprié, et examiner de près les leurres via pièces jointes (SVG/HTML/PDF/QR).
5. Utiliser les détections Microsoft Defender & les conseils de hunting : opérationnaliser les recommandations de détection et de hunting de la publication de Microsoft pour identifier des schémas AiTM, le vol de tokens et une infrastructure de redirection suspecte.