El kit de phishing Tycoon2FA ha resurgido con nueva infraestructura y ahora utiliza ataques de "código de dispositivo" para secuestrar cuentas de Microsoft 365. El método engaña a las víctimas para que autoricen dispositivos maliciosos mediante URLs de seguimiento de Trustifi y páginas falsas de CAPTCHA. Para combatirlo, los expertos recomiendan deshabilitar el flujo de código de dispositivo de OAuth y monitorear estrictamente los registros de autenticación.

El kit de phishing Tycoon2FA ahora admite ataques de phishing de código de dispositivo y abusa de las URL de seguimiento de clics de Trustifi para secuestrar cuentas de Microsoft 365.

A pesar de que una operación internacional de las fuerzas del orden interrumpió la plataforma de phishing Tycoon2FA en marzo, la operación maliciosa fue reconstruida en una nueva infraestructura y recuperó rápidamente sus niveles normales de actividad.

A principios de este mes, Abnormal Security confirmó que Tycoon2FA había vuelto a las operaciones normales e incluso añadió nuevas capas de ofuscación para fortalecer su resistencia frente a nuevos intentos de interrupción.

A finales de abril, se observó a Tycoon2FA en una campaña que aprovechaba los flujos de concesión de autorización de dispositivos OAuth 2.0 para comprometer cuentas de Microsoft 365, lo que indica que el operador continúa desarrollando el kit.

El phishing de código de dispositivo es un tipo de ataque en el que los actores de amenazas envían una solicitud de autorización de dispositivo al proveedor del servicio objetivo y reenvían el código generado a la víctima, engañándola para que lo introduzca en la página de inicio de sesión legítima del servicio.

Hacer esto autoriza al atacante a registrar un dispositivo malicioso en la cuenta de Microsoft 365 de la víctima, otorgándole acceso sin restricciones a los datos y servicios de la víctima, incluidos el correo electrónico, el calendario y el almacenamiento de archivos en la nube.

Push Security advirtió recientemente que este tipo de ataque ha aumentado 37 veces este año, respaldado por al menos diez plataformas distintas de phishing como servicio (PhaaS) y kits privados. Un informe más reciente de Proofpoint registra un aumento similar en el uso de la táctica.

Tycoon2fa añade phishing de código de dispositivo

Según una nueva investigación de la empresa de detección y respuesta gestionada eSentire, Tycoon2FA confirma que el phishing de código de dispositivo se ha vuelto muy popular entre los ciberdelincuentes.

“El ataque comienza cuando una víctima hace clic en una URL de seguimiento de clics de Trustifi en un correo electrónico de señuelo y culmina cuando la víctima, sin saberlo, concede tokens de OAuth a un dispositivo controlado por el atacante a través del flujo legítimo de inicio de sesión de dispositivos de Microsoft en microsoft.com/devicelogin”, explica eSentire en su análisis.

“Conectando esos dos puntos finales hay una cadena de entrega en el navegador de cuatro capas cuyo método de Tycoon 2FA es prácticamente idéntico a la variante de retransmisión de credenciales TRU documentada en abril de 2025 y la variante posterior al cierre documentada en abril de 2026”.

Trustifi es una plataforma de seguridad de correo electrónico legítima que proporciona una gama de herramientas integradas en varios servicios de correo electrónico, incluidos los de Microsoft y Google. Sin embargo, eSentire no sabe cómo los atacantes llegaron a utilizar Trustifi.

Según los investigadores, el ataque utiliza un correo electrónico de phishing con temática de factura que contiene una URL de seguimiento de Trustifi que redirige a través de Trustifi, Cloudflare Workers y varias capas de JavaScript ofuscadas, aterrizando a la víctima en una página de CAPTCHA falsa de Microsoft.

La página de phishing recupera un código de dispositivo OAuth de Microsoft desde el backend del atacante e instruye a la víctima a copiarlo y pegarlo en ‘microsoft.com/devicelogin’, tras lo cual la víctima completa la autenticación de múltiples factores (MFA) por su parte.

Después de este paso, Microsoft emite tokens de acceso y de actualización de OAuth al dispositivo controlado por el atacante.


El kit de phishing Tycoon2FA incluye una protección exhaustiva contra investigadores y escaneo automatizado, detectando Selenium, Puppeteer, Playwright, Burp Suite, bloqueando proveedores de seguridad, VPN, sandboxes, rastreadores de IA y proveedores de nube, y utilizando trampas de temporización de depurador.

Las solicitudes de dispositivos que indican un entorno de análisis son redirigidas automáticamente a una página legítima de Microsoft, afirma eSentire.

Los investigadores han descubierto que la lista de bloqueo del kit contiene actualmente 230 nombres de proveedores y se actualiza constantemente.

eSentire recomienda desactivar el flujo de código de dispositivo OAuth cuando no sea necesario, restringir los permisos de consentimiento de OAuth, requerir la aprobación del administrador para aplicaciones de terceros, habilitar la Evaluación de Acceso Continuo (CAE) y aplicar políticas de acceso de dispositivos conformes.

Además, los investigadores recomiendan supervisar los registros de Entra para la autenticación deviceCode, el uso del Agente de Autenticación de Microsoft y los agentes de usuario de Node.js.

eSentire ha publicado un conjunto de indicadores de compromiso (IoCs) para los últimos ataques de Tycoon2FA para ayudar a los defensores a proteger sus entornos.

Fuente:
BleepingComputer