- Регистрация
- Окт 17, 2022
- Сообщения
- 870
- Реакции
- 91
- Награды
- 1
Платформа Tycoon2FA, предоставляющая фишинговые услуги (PhaaS), которую Европол и его партнеры пресекли 4 марта, уже вернулась к ранее наблюдаемому уровню активности.
Компания Microsoft возглавила техническую операцию по взлому, в ходе которой были конфискованы 330 доменов, входящих в инфраструктуру Tycoon2FA, включая панели управления и фишинговые страницы, используемые в атаках.
Однако сбои, вызванные действиями правоохранительных органов, были кратковременными, поскольку CrowdStrike заметила, что работа сервиса по борьбе с киберпреступностью вернулась к нормальному режиму в течение нескольких дней.
«После блокировки Falcon Complete зафиксировала кратковременное снижение активности кампании Tycoon2FA: ежедневный объем активности 4 и 5 марта 2026 года сократился до 25% от уровня до блокировки», — говорится в отчете CrowdStrike .
«Однако впоследствии этот объем вернулся к докризисному уровню, а ежедневное количество активных работ по устранению последствий компрометации облачных сервисов снова достигло уровня начала 2026 года».
Впервые описанная компанией Sekoia примерно два года назад, платформа Tycoon2FA появилась в сети как платформа PhaaS, предназначенная для атаки на учетные записи Microsoft 365 и Gmail, использующая механизмы «злоумышленника посередине», позволяющие обходить двухфакторную аутентификацию (2FA).
Месяц спустя компания Trustwave сообщила , что операторы Tycoon2FA активно улучшают платформу, добавляя новые, продвинутые функции и привлекая больше киберпреступников к покупке доступа.
Tycoon2FA — крупный игрок на рынке фишинга: по данным Microsoft, компания ежемесячно рассылает 30 миллионов фишинговых писем, на их долю приходится 62% всех писем, заблокированных технологическим гигантом.
По данным CrowdStrike, Tycoon2FA возобновила свою деятельность, используя практически неизменные методы, тактики и процедуры (ТТП), и поддерживала разнообразные незаконные действия, такие как компрометация корпоративной электронной почты (BEC), перехват цепочек электронных писем, захват учетных записей в облаке и вредоносные ссылки на SharePoint.
После проведенной операции по пресечению деятельности Tycoon2FA использовался в вредоносных почтовых кампаниях, основанных на вредоносных URL-адресах и сервисах сокращения ссылок, на легитимных платформах, таких как инструменты для создания презентаций, где злоупотребляются механизмы перенаправления, а также на скомпрометированных доменах.
Источник: CrowdStrike
Примечательно, что часть старой инфраструктуры оставалась активной, что указывает на неполноту проведенной операции, в то время как новые фишинговые домены и IP-адреса были зарегистрированы быстро после завершения правоохранительной операции.
Что касается активности, наблюдаемой после взлома, она включает в себя создание правил для входящих сообщений, скрытых папок для мошеннических писем и подготовку к операциям BEC (Business Email Compromise).
В конечном итоге, CrowdStrike отмечает, что без арестов или физического изъятия киберпреступникам легко восстановить и заменить поврежденную инфраструктуру. Пока спрос со стороны фишинговой экосистемы высок, мотивация операторов платформ PhaaS остается неизменной.
