Nyhet -
Tycoon 2FA dog inte – det finns utspritt överallt
Efter ett internationellt tillslag i början av mars minskade antalet Tycoon 2FA-kopplade phishing‑attacker med 77 procent. Men nu visar en ny analys från Barracuda hur andra aktörer snabbt tog över Tycoons marknadsandelar, omfördelade och vidareutvecklade dess verktyg, tekniker och kapacitet – och hur vissa delar, inklusive mindre kampanjer, inte förändrades alls.
I analysen beskriver Barracuda hur det dominerande phishing‑as‑a‑service‑nätverket Tycoon 2FA slogs ut i den samordnade insatsen från rättsvårdande myndigheter, samt vilka konsekvenser detta fått för ekosystemet i stort. Före tillslaget stod Tycoon 2FA i genomsnitt för över nio miljoner phishing‑attacker per månad. Mamba 2FA var då den näst största plattformen med omkring åtta miljoner attacker, följt av EvilProxy med nästan tre miljoner. Sneaky 2FA stod för knappt 700 000 attacker per månad.
Efter tillslaget tog Mamba 2FA över positionen som ledande plattform och fördubblade sin aktivitet till cirka 15 miljoner attacker per månad. Samtidigt föll Tycoon 2FA:s aktivitet kraftigt. Trots minskningen stod plattformen fortsatt för mer än två miljoner attacker.
– Phishinghot upphör inte på ett tydligt avgränsat sätt. Angreppsmönster förflyttas snarare än försvinner, och verktyg tar över och vidareutvecklar tekniker som redan har visat sig fungera, säger Saravanan Mohankumar på Barracudas team för hotanalys.
– De funktioner som fick sitt genomslag genom Tycoon 2FA är nu integrerade i ett bredare spektrum av plattformar, och vi har redan sett dem användas framgångsrikt i attacker baserade på device code. Det gör att det snabbt blir inaktuellt att knyta upptäckt till enskilda phishing‑kit. För att bygga verklig motståndskraft behöver försvarsstrategier i stället fokusera på övergripande mönster för identitetsbaserade angrepp och otillåten av sessioner, fortsätter Saravanan Mohankumar.
Därför lever Tycoon 2FA vidare
Enligt Barracudas hotanalytiker finns flera samverkande orsaker till att Tycoon 2FA fortfarande förekommer i attackflödet:
· Allt slogs inte ut i tillslaget
Kopior och modifierade varianter av Tycoon 2FA:s attackkod cirkulerar fortfarande. Självständigt driftade instanser är aktiva, och fragmenterade kampanjer med låg volym pågår även efter tillslaget.
· Återanvändning och vidareutveckling av phishing‑kod
PhaaS‑verktyg liknar i allt högre grad öppna utvecklingsmiljöer. Kod återanvänds, anpassas och flyttas mellan olika phishing‑kit, samtidigt som funktioner successivt sprids från en plattform till en annan.
· Kvarvarande infrastruktur
Delar av attackinfrastrukturen kan leva vidare under lång tid. Angreppsdomäner är ofta aktiva tills de löper ut, reservlösningar för drift undgår ibland omedelbar nedstängning och lågintensiva kampanjer kan fortsätta utan att trigga automatiska larm.
· Inbyggd redundans i moderna phishing‑ramverk
Många phishing‑ramverk är konstruerade för att snabbt kunna återhämta sig efter störningar. Det kan handla om reservlösningar för pågående kampanjer, arbetsflöden för snabb återlansering och kompatibilitet med andra phishing‑verktyg.
· Bestående åtkomst till komprometterade konton
När infrastrukturen slås ut upphör inte nödvändigtvis angriparens åtkomst. Stulna sessionscookies kan förbli giltiga, OAuth‑missbruk kan ge långvarig tillgång till molntjänster och organisationer kan förbli komprometterade även efter att phishing‑kampanjen avslutats.
