Los ciberdelincuentes responsables del kit de phishing Tycoon 2FA han implementado una nueva técnica avanzada. Al combinar su infraestructura de phishing con el abuso de códigos de dispositivo OAuth, ahora son capaces de robar el acceso a cuentas de Microsoft 365 sin necesidad de capturar contraseñas, logrando así evadir la autenticación de múltiples factores (MFA).

Los ciberdelincuentes detrás del kit de phishing Tycoon 2FA han añadido un arma nueva y poderosa a su arsenal.

Al combinar su conocida infraestructura de phishing con el abuso del Código de Dispositivo OAuth, ahora pueden robar el acceso a cuentas de Microsoft 365 sin capturar ni una sola contraseña.

El kit de phishing Tycoon 2FA llamó la atención por primera vez como una plataforma de Phishing como Servicio (PhaaS). Fue diseñado para ayudar a los atacantes a evadir la autenticación multifactor retransmitiendo credenciales a través de una capa intermedia.

Durante el último año, los operadores han seguido evolucionando sus métodos y perfeccionando sus cadenas de entrega para mantenerse por delante de las herramientas de detección y las listas de bloqueo de los proveedores. Incluso después de una interrupción importante en marzo de 2026, el grupo se negó a detenerse.

Analistas de eSentire dijeron en un informe compartido con Cyber Security News (CSN) que la campaña fue identificada a finales de abril de 2026 por su Unidad de Respuesta a Amenazas (TRU).

El equipo de eSentire descubrió que los operadores de Tycoon 2FA habían mantenido su kit principal casi intacto tras la caída coordinada de marzo de 2026 liderada por Microsoft y Europol, solo que esta vez implementaron un flujo de código de dispositivo OAuth para recolectar tokens en lugar de credenciales.

El ataque comienza con un correo electrónico de engaño convincente que contiene un enlace de seguimiento de clics de Trustifi, una plataforma legítima de seguridad de correo electrónico empresarial.

Trustifi en sí misma no fue comprometida. Los actores de amenazas simplemente están explotando la reputación limpia de la plataforma para evadir las puertas de enlace de correo electrónico y dirigir a las víctimas a través de una cadena de redirecciones maliciosas sin activar alarmas tempranas.

Una vez que haces clic, el enlace pasa por múltiples capas antes de llegar a la carga útil final. La cadena de entrega utiliza cargas útiles cifradas, controles antianálisis, una página de CAPTCHA de Microsoft falsa y una lista de bloqueo de proveedores que cubre más de 230 organizaciones. Esto está diseñado para asegurar que solo las víctimas reales lleguen a la última etapa del ataque.

Phishing de Código de Dispositivo OAuth

En el núcleo de esta campaña se encuentra un abuso ingenioso de la Concesión de Autorización de Dispositivos OAuth 2.0, un protocolo legítimo creado para dispositivos como televisores inteligentes que no pueden manejar fácilmente los flujos de inicio de sesión tradicionales.

En el flujo normal, un dispositivo genera un código corto y el usuario lo introduce en un sitio web de confianza para conceder el acceso. Los operadores de Tycoon 2FA ahora han convertido este proceso totalmente en un arma.

En este ataque, a las víctimas se les muestra un engaño de notificación de buzón de voz de Microsoft 365. Se les indica que copien un código de usuario y visiten la página real de inicio de sesión de dispositivos de Microsoft en microsoft.com/devicelogin.

Dado que la víctima interactúa con la infraestructura genuina de Microsoft, el MFA se activa y se completa normalmente.

Lo que la víctima no se da cuenta es que, al aprobar la solicitud, está concediendo tokens de acceso a un dispositivo controlado por el atacante que se ejecuta en segundo plano. El phishing no evade el MFA, sino que cambia qué es lo que el MFA está autorizando.

Un kit que sobrevivió a la desactivación intacto

Uno de los hallazgos más sorprendentes en el informe de eSentire es lo poco que ha cambiado el kit a pesar de la importante interrupción de las fuerzas del orden.

La misma clave de cifrado AES, la misma trampa de tiempo antidebugging, la misma gramática de Verificación de Dominio y los mismos patrones de ruta del backend de 2025 siguen presentes en esta campaña de 2026.

Este nivel de continuidad muestra que los operadores hicieron copias de seguridad de su código base y reanudaron las operaciones sin perder el ritmo.

El análisis posterior al compromiso de los registros de inicio de sesión de Entra reveló que la actividad del operador provenía de herramientas de automatización Node.js utilizando las cadenas de agente de usuario "node" y "undici".

Estos son indicadores fuertes de un cliente de sondeo (polling) de backend y son muy inusuales en cualquier entorno de producción normal.

Los defensores deben tratar estos agentes de usuario que aparecen contra el AppId del Broker de Autenticación de Microsoft como una señal de alerta inmediata.

La infraestructura del operador también se ha desplazado hacia Alibaba Cloud, específicamente AS45102, como parte de una rotación de alojamiento más amplia después de que los proveedores anteriores enfrentaran presiones de desactivación.

La Unidad de Respuesta a Amenazas de eSentire recomienda que las organizaciones implementen políticas de Acceso Condicional de Microsoft Entra para bloquear los flujos de Código de Dispositivo OAuth para los usuarios finales regulares.

Los administradores también deberían restringir el consentimiento del usuario para las aplicaciones OAuth y requerir la aprobación del administrador para todo acceso de aplicaciones de terceros.

Habilitar la Evaluación de Acceso Continuo garantiza que la revocación de tokens se propague rápidamente después de cualquier incidente confirmado. Los equipos también deberían buscar las consultas KQL específicas y los patrones de URLscan publicados por eSentire para identificar la actividad relacionada en sus entornos.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
URL	hxxps[://]events[.]trustifi[.]com/api/o/v1/click/69f218d9bd8f28639a2460c7/…	URL de engaño de seguimiento de clics de Trustifi utilizada para el lavado de reputación; marcas de tiempo de ObjectId decodificadas al 29 de abril de 2026
URL	hxxps[://]cookies[.]28gholland[.]workers[.]dev/	Subdominio desechable de Cloudflare Workers; punto de entrega real de la carga útil maliciosa
URL	hxxps[://]shivacrio[.]com/bytecore~tx1j8	"Verificación de Dominio" de Tycoon 2FA utilizada para filtrar víctimas e investigadores de seguridad en tiempo real
URL	hxxps[://]fijothi[.]com/dhkjCVBfLnfbhFjpYPoDKNMmLIQjNkGLMQPMQUBJFWELKIYHJHWDIESXVUZHHJNFTNMW<random>	Dominio de backend C2 del operador utilizado para la comunicación de sesión cifrada AES-CBC
OAuth AppId	29d9ed98-a469-4536-ade2-f981bc1d605e	AppId del Broker de Autenticación de Microsoft suplantado durante el flujo de consentimiento de Código de Dispositivo OAuth
OAuth AppId	4765445b-32c6-49b0-83e6-1d93765276ca	AppId de OfficeHome; AppId primario para la variante del kit de retransmisión de credenciales (según el informe de TRU de abril de 2026)
Dirección IP	47.90.180.205	IP del operador de Alibaba Cloud (AS45102) observada durante la fase de adquisición de tokens
Dirección IP	47.252.11.99	IP del operador de Alibaba Cloud (AS45102) observada durante la fase de reutilización sostenida de tokens de actualización
User-Agent	node	Agente de usuario básico de Node.js; firma del cliente de sondeo del operador durante la adquisición inicial del token
User-Agent	undici	Agente de usuario del cliente HTTP nativo de Node.js; firma del backend del operador durante la reutilización sostenida de tokens de actualización
ASN	AS45102	Alibaba (US) Technology Co., Ltd.; ASN activo del lado del operador observado desde aproximadamente el 10 de abril de 2026
Clave de Cifrado	1234567890123456	Clave AES-CBC e IV codificados utilizados en la capa de cifrado CryptoJS; huella digital del kit consistente en todas las campañas
MongoDB ObjectId	69f218d9bd8f28639a2460c7	ID de Objeto incrustado en la ruta de la URL de engaño; se decodifica al 29 de abril de 2026, 14:42:33 UTC

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/tycoon-2fa-operators-adopt-oauth-device-code/