Tycoon2FA phishing AiTM: come aggira l’MFA

Introduzione: perché è importante

I kit di phishing AiTM come Tycoon2FA cambiano il modello di rischio per gli accessi a Microsoft 365 e ad altri SaaS: anche quando gli utenti hanno l’MFA abilitata, gli attaccanti possono comunque compromettere gli account intercettando cookie/token di sessione durante il sign-in. Per gli amministratori IT, questo significa che “reimpostare la password” spesso non basta: l’incident response deve includere la revoca di sessioni/token e il rafforzamento dei controlli di autenticazione.

Novità / risultati chiave dall’analisi di Microsoft

Tycoon2FA ha consentito l’elusione dell’MFA su scala enorme

• Attivo da agosto 2023, Tycoon2FA è diventato uno degli ecosistemi PhaaS più diffusi.
• Microsoft ha osservato campagne che hanno inviato decine di milioni di messaggi di phishing e raggiunto oltre 500.000 organizzazioni ogni mese in quasi tutti i settori.
• Il kit forniva proxying AiTM: catturava le credenziali e intercettava i cookie di sessione inoltrando al contempo prompt/codici MFA verso il servizio reale.

Un’esperienza “chiavi in mano” per gli operatori ha abbassato la barriera d’ingresso

Tycoon2FA veniva venduto tramite canali come Telegram/Signal e offriva un pannello di amministrazione web per:

• Selezionare template di impersonificazione del brand (Microsoft 365, Outlook, OneDrive, SharePoint, Gmail)
• Configurare catene di redirect, decoy e logica di instradamento
• Generare file-esca malevoli (ad es. consegne basate su PDF/HTML/EML/QR code)
• Tracciare l’interazione delle vittime ed esfiltrare gli artefatti acquisiti (anche tramite bot Telegram)

Evasione e infrastruttura a rotazione rapida

Microsoft evidenzia un uso intenso di tecniche anti-analisi ed evasione, tra cui:

• Controlli anti-bot, fingerprinting del browser, CAPTCHA self-hosted e offuscamento del codice
• Domini di breve durata (spesso 24–72 ore) con TLD diversi e a bassa frizione
• Ampio uso di infrastruttura hosted su Cloudflare e rotazione rapida per restare davanti ai blocchi

Attività di disruption

La DCU di Microsoft, collaborando con Europol e partner, ha facilitato una disruption dell’infrastruttura e delle operazioni di Tycoon2FA: un passo importante, anche se i difensori dovrebbero aspettarsi copycat e retooling.

Impatto su amministratori IT e utenti finali

• L’MFA da sola non è sufficiente contro l’AiTM quando si basa su token di sessione riutilizzabili.
• Il recupero dell’account deve includere la revoca di sessioni/token; altrimenti, gli attaccanti possono persistere anche dopo il reset della password.
• I workload di email e collaborazione (Exchange Online, SharePoint/OneDrive) restano bersagli primari per via dei dati di alto valore e delle opportunità di movimento laterale.

Azioni / prossimi passi

1. Dare priorità all’autenticazione resistente al phishing (prima per gli utenti ad alto rischio): puntare su FIDO2/passkeys, autenticazione basata su certificati o altri metodi resistenti al phishing dove possibile.
2. Rafforzare Conditional Access: ridurre il valore del token replay (controlli sul rischio di sign-in, requisiti di conformità del dispositivo, restrizioni di posizione e controlli di sessione più rigorosi per i ruoli privilegiati).
3. Rivedere i runbook di incident response: assicurarsi che la risposta includa revoke sign-in sessions, la disabilitazione degli account compromessi e la rotazione di credenziali/chiavi quando necessario.
4. Rafforzare i controlli di ingresso email: imporre protezioni anti-spoofing, usare regole di mail flow dove opportuno e analizzare con attenzione le esche basate su allegati (SVG/HTML/PDF/QR).
5. Usare le rilevazioni di Microsoft Defender e le linee guida di hunting: rendere operative le raccomandazioni di detection e hunting nel report di Microsoft per identificare pattern AiTM, furto di token e infrastrutture di redirect sospette.