Ransomware-Tycoon nutzt AI-Kit, um MFA bei Entra ID und Google Workspace zu umgehen

Sicherheitslage und Risiko

Die Größe und Komplexität von Tycoon 2FA machen es zu einer der folgenschwersten aktiven Phishing-Bedrohungen. Organisationen, die ausschließlich auf traditionelle MFA-Verfahren setzen, sind nicht geschützt, da dieses Toolkit diese Sicherheitskontrollen durch den Diebstahl von Sitzungstokens umgeht.

Das Verständnis der Funktionsweise des Toolkits ist der erste Schritt zur Entwicklung von Abwehrmaßnahmen, die standhalten können. Wie Tycoon 2FA MFA umgeht Tycoon 2FA stiehlt Zugangsdaten nicht auf die klassische Weise.

Stattdessen fungiert es als Reverse-Proxy und positioniert sich zwischen dem Opfer und der echten Microsoft- oder Google-Anmeldeseite, wobei es alle Daten in Echtzeit weiterleitet. Das Opfer führt seine MFA-Herausforderung normal durch und bemerkt nie, dass das Toolkit den Sitzungstoken bereits im Moment seiner Ausstellung abgefangen hat.

Sicherheitslage und Risiko

Der Angriff beginnt mit einer Phishing-E-Mail, die einen Link oder einen QR-Code enthält, der in einer PDF-, SVG-, HTML- oder PowerPoint-Datei eingebettet ist.

Die Verknüpfung führt über eine mehrstufige Umleitungskette, bevor sie auf eine pixelgenaue Nachbildung der Zielanmeldeseite trifft, die häufig mit der Markenidentität des Opfers, direkt vom echten Dienst übernommen, geladen wird.

Sobald das Opfer den MFA-Prozess abgeschlossen hat, erfasst das Tool den Sitzungs-Cookie und übergibt ihn dem Angreifer, der daraufhin auf das Konto zugreifen kann, ohne weitere Aufforderungen. Ausweichmaßnahmen und Persistenz nach der Kompromittierung Tycoon 2FA ist darauf ausgelegt, Incident-Response-Maßnahmen zu überdauern.

Das Tool kann ein bösartiges Gerät

Das Tool kann ein bösartiges Gerät in Entra ID registrieren und dabei einen primären Refresh-Token erhalten, der auch dann weiterhin gültig bleibt, wenn ein Verteidiger die Sitzungen des kompromittierten Benutzers widerruft.

Dies bedeutet, dass das Standard-Szenario „Sitzungen widerrufen und Passwort zurücksetzen" nicht mehr ausreicht, um eine Tycoon-2FA-Kompromittierung vollständig zu begrenzen.

Neben der Persistenz unternimmt das Tool extreme Schritte, um einer Analyse zu entgehen: Es filtert Besucher aus Cloud- und Hosting-IP-Bereichen, blockiert Entwicklertools, erkennt Automatisierungsframeworks und entfernt seinen eigenen bösartigen Code von der Seite nach der Ausführung.

Jedes Opfer erhält eine eindeutig verschlüsselte

Jedes Opfer erhält eine eindeutig verschlüsselte Nutzlast, die mit pro-Sitzungswerten initialisiert wurde, wodurch die Erkennung auf Basis von Signaturen nahezu unmöglich wird.

Um dieser Bedrohung zu begegnen, empfiehlt Elastic den Einsatz von Phishing-resistenten MFA-Verfahren wie FIDO2-Sicherheitsschlüsseln oder Passkeys, da diese die einzigen Methoden sind, die gegen AiTM-Sitzungsdiebstahl immun sind.

Organisationen sollten zudem die Gerätekonformität durch Conditional Access durchsetzen, Code-Flows für Geräte für alle Benutzer außer in genehmigten Szenarien blockieren und den Token-Schutz aktivieren, um Tokens an bestimmte Geräte zu binden.

Verteidiger müssen vor der Widerrufung

Verteidiger müssen vor der Widerrufung von Sitzungen sorgfältig registrierte Geräte auflisten und löschen, um die Persistenzkette zwischen Gerät und PRT vollständig zu unterbrechen. Indikatoren für Kompromittierung (IoCs): Die folgenden Indikatoren wurden von Elastic Security Labs in ihrer Analyse der Tycoon 2FA-Kampagnen dokumentiert.

Client-App-ID: Indikator: 29d9ed98-a469-4536-ade2-f981bc1d605e; Beschreibung: Microsoft Authentication Broker-Client-ID, die vom Kit-Relay für Missbrauch von Device-Code-Grant und PRT-Minting verwendet wird.

OAuth-Client-ID: Indikator: 77185425430.apps.googleusercontent.com; Beschreibung: Ein OAuth-Client für Google Chrome, der in jeder Google Workspace-Relay-Sitzung eingesetzt wird.

Technik und Auswirkungen

OAuth-Berechtigungsgebiet: Indikator: https://www.google.com/accounts/OAuthLogin; Beschreibung: Das interne Bootstrap-Anmeldeberechtigungsgebiet von Chrome, das vom Kit verwendet wird, um Google-Relay-Sitzungen zu initiieren.

User-Agent: Indikator: node, axios/1.15.2, node-fetch/1.0, undici; Beschreibung: Node.js-HTTP-Client-User-Agents, die vom Tier-1-Kit zur Relay-Verbindung gegen Microsoft Entra ID verwendet werden.

API-Domain: Indikator: api.ipapi.is; Beschreibung: Ein Dienst zur IP-Geolokalisierung und ASN-Abruf, der vom Kit aufgerufen wird, um den Verkehr von Forschern und Cloud-Anbietern zu filtern.

Technischer Hintergrund

ASN: Indikator: Alibaba Cloud (und ähnliche kostengünstige VPS-ASNs); Beschreibung: Infrastruktur des Tier-1-Kit-Relays, die für die automatisierte Token-Erstellung und Erneuerung genutzt wird. ASN: Indikator: Clouvider, Host Telecom; Beschreibung: Kostengünstige Hosting-ASNs, die von den Relay-IPs des Kits in Google Workspace-Kampagnen verwendet werden.

Socket.IO-Ereignis: Indikator: recieveid; Beschreibung: Konsistentes Kit-Fingerabdruck (beabsichtigter Tippfehler), der im WebSocket-C2-Relay-Kanal verwendet wird. Hinweis: IP-Adressen und Domains sind absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wiederherstellen. Tushar ist ein leitender Cybersicherheits- und Datenschutzverletzungsreporter. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenschutzverletzungen sowie Malware-Angriffe.

Technischer Hintergrund

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein. Bei Motorola-Handys wurde eine vorinstallierte App gefunden, die die Amazon-App entführt, um Affiliate-Codes einzuspritzen. Angreifer können BadHost ausnutzen, um auf sensible Endpunkte von KI-Agenten-Servern zuzugreifen.

CISA warnt vor einer in Angriffen ausgenutzten Schwachstelle im LiteSpeed cPanel-Plugin.