Tycoon2FA AiTM-phishing omzeilt MFA op schaal

Introductie: waarom dit belangrijk is

AiTM-phishingkits zoals Tycoon2FA veranderen het risicomodel voor Microsoft 365 en andere SaaS-aanmeldingen: zelfs wanneer gebruikers MFA hebben ingeschakeld, kunnen aanvallers nog steeds accounts overnemen door sessiecookies/tokens tijdens het aanmelden te onderscheppen. Voor IT-beheerders betekent dat dat “het wachtwoord resetten” vaak niet genoeg is—incidentrespons moet ook het intrekken van sessies/tokens en het aanscherpen van authenticatiecontroles omvatten.

Wat nieuw is / belangrijkste bevindingen uit Microsofts analyse

Tycoon2FA maakte MFA-omzeiling op enorme schaal mogelijk

• Actief sinds augustus 2023, groeide Tycoon2FA uit tot een van de meest voorkomende PhaaS-ecosystemen.
• Microsoft observeerde campagnes die tientallen miljoenen phishingberichten afleverden en 500.000+ organisaties per maand bereikten in vrijwel alle sectoren.
• De kit bood AiTM-proxying: deze legde referenties vast en onderschepte sessiecookies terwijl MFA-prompts/codes in real time naar de echte dienst werden doorgestuurd.

Een kant-en-klare operatorervaring verlaagde de instapdrempel

Tycoon2FA werd verkocht via kanalen zoals Telegram/Signal en bood een webgebaseerd beheerpaneel om:

• Brand-impersonation templates te selecteren (Microsoft 365, Outlook, OneDrive, SharePoint, Gmail)
• Redirect chains, lokmiddelen en routeringslogica te configureren
• Kwaadaardige lokbestanden te genereren (bijvoorbeeld leveringen op basis van PDF/HTML/EML/QR code)
• Interactie van slachtoffers te volgen en buitgemaakte artefacten te exfiltreren (onder meer via Telegram bots)

Ontwijking en snel roterende infrastructuur

Microsoft benadrukt intensief gebruik van anti-analyse- en ontwijkingstechnieken, waaronder:

• Anti-botcontroles, browser fingerprinting, self-hosted CAPTCHA en code-obfuscatie
• Kortlevende domeinen (vaak 24–72 uur) met diverse laagdrempelige TLD’s
• Uitgebreid gebruik van Cloudflare-hosted infrastructuur en snelle rotatie om blokkades voor te blijven

Verstoring van de operatie

Microsofts DCU faciliteerde, samen met Europol en partners, een verstoring van Tycoon2FA-infrastructuur en -operaties—een belangrijke stap, al moeten verdedigers rekening houden met copycats en herbewapening.

Impact op IT-beheerders en eindgebruikers

• MFA alleen is niet voldoende tegen AiTM wanneer dit berust op herbruikbare sessietokens.
• Accountherstel moet ook intrekking van sessies/tokens omvatten; anders kunnen aanvallers aanwezig blijven, zelfs na wachtwoordresets.
• E-mail- en samenwerkingsworkloads (Exchange Online, SharePoint/OneDrive) blijven primaire doelwitten vanwege waardevolle data en mogelijkheden voor laterale beweging.

Actiepunten / volgende stappen

1. Geef prioriteit aan phishing-resistant authentication (eerst voor gebruikers met een hoog risico): ga waar mogelijk over op FIDO2/passkeys, certificaatgebaseerde authenticatie of andere phishingbestendige methoden.
2. Versterk Conditional Access: verlaag de waarde van token replay (aanmeldingsrisicocontroles, vereisten voor apparaatscompliance, locatiebeperkingen en strengere sessiecontroles voor bevoorrechte rollen).
3. Herzie incident-runbooks: zorg ervoor dat respons ook revoke sign-in sessions, het uitschakelen van gecompromitteerde accounts en het roteren van referenties/sleutels waar nodig omvat.
4. Versterk e-mailingangscontroles: dwing spoofbescherming af, gebruik waar passend mail flow rules en controleer attachment-based lures (SVG/HTML/PDF/QR) extra kritisch.
5. Gebruik Microsoft Defender-detecties en hunting guidance: operationaliseer de detectie- en huntingaanbevelingen uit Microsofts publicatie om AiTM-patronen, tokendiefstal en verdachte redirect-infrastructuur te identificeren.