Tycoon-2FA-Angriffe nach Zerschlagung um 77 Prozent gesunken

Die internationale Zerschlagung von Tycoon 2FA hat das globale Phishing-Ökosystem spürbar verändert. Eine Analyse von Barracuda zeigt, dass konkurrierende Phishing-as-a-Service-Plattformen die entstandene Lücke rasch geschlossen und ihre Aktivitäten deutlich ausgeweitet haben. Gleichzeitig macht die Untersuchung deutlich, dass Tycoon 2FA trotz eines Aktivitätsrückgangs von 77 Prozent nicht vollständig verschwunden ist und zentrale Angriffsmethoden weiterhin in anderen Kampagnen fortleben.

Foto: it&d business medien mit KI Unterstützung

Eine neue Untersuchung von Barracuda beleuchtet die Auswirkungen der Zerschlagung von Tycoon 2FA auf die internationale Phishing-Landschaft. Vor der Strafverfolgungsaktion galt Tycoon 2FA als führende Phishing-as-a-Service-Plattform und war durchschnittlich für mehr als neun Millionen Phishing-Angriffe pro Monat verantwortlich. Dahinter folgten Mamba 2FA mit rund acht Millionen, EvilProxy mit knapp drei Millionen sowie Sneaky 2FA mit rund 700.000 Angriffen monatlich.

Konkurrenzplattformen gewinnen Marktanteile

Nach der Zerschlagung von Tycoon 2FA verschob sich die Verteilung der Angriffe deutlich. Mamba 2FA übernahm die Spitzenposition und verdoppelte seine Aktivität auf etwa 15 Millionen Angriffe pro Monat. Auch EvilProxy legte zu und erreichte rund vier Millionen Angriffe monatlich. Besonders stark fiel das Wachstum bei Sneaky 2FA aus: Die Zahl der Angriffe stieg auf nahezu zwei Millionen und damit auf fast das Dreifache des bisherigen Niveaus.

Die Barracuda-Analyse wertet diese Entwicklung als Hinweis darauf, dass erfolgreiche Phishing-Technologien und Angriffsmethoden nach Eingriffen von Strafverfolgungsbehörden rasch von anderen Akteuren übernommen werden. Die Marktanteile der ausgeschalteten Plattform werden demnach schnell neu verteilt, während bestehende Funktionen und Techniken in anderen Angeboten weiterleben.

Warum Tycoon 2FA weiterhin aktiv ist

Trotz des deutlichen Rückgangs der Aktivität verschwand Tycoon 2FA nicht vollständig. Die Bedrohungsforscher von Barracuda nennen mehrere Gründe dafür. So seien Varianten des ursprünglichen Angriffscodes weiterhin im Umlauf, da einzelne Angreifer diesen geklont oder verändert hätten. Zudem existierten unabhängig gehostete Installationen sowie kleinere, fragmentierte Kampagnen weiterhin.

Hinzu komme die Wiederverwendung von Phishing-Code in anderen Projekten. Laut Barracuda ähneln moderne PhaaS-Toolsets zunehmend Open-Source-Entwicklungsumgebungen. Funktionen und Programmteile würden regelmäßig übernommen, angepasst und in neuen Phishing-Kits eingesetzt.

Auch Teile der ursprünglichen Infrastruktur könnten nach einer Zerschlagung bestehen bleiben. Angriffsdomains bleiben häufig aktiv, bis ihre Registrierung ausläuft. Backup-Hosting lasse sich zudem nicht immer sofort beschlagnahmen. Kleinere Kampagnen mit geringer Sichtbarkeit könnten dadurch weiterlaufen, ohne unmittelbar entdeckt zu werden.

Infrastruktur und Zugangsdaten bleiben Risikofaktoren

Ein weiterer Faktor ist die technische Widerstandsfähigkeit moderner Phishing-Frameworks. Viele Systeme verfügen über integrierte Redundanzmechanismen, darunter Failover-Infrastrukturen, Verfahren zur schnellen Wiederinbetriebnahme nach Störungen sowie Kompatibilität mit anderen Phishing-Kits. Dadurch können laufende Kampagnen auch nach Eingriffen relativ schnell fortgesetzt werden.

Darüber hinaus endet mit einer Störung der Angriffsinfrastruktur nicht zwangsläufig der Zugriff auf bereits kompromittierte Systeme. Gestohlene Session-Cookies können weiterhin gültig bleiben, während missbrauchte OAuth-Zugänge einen dauerhaften Zugriff auf Cloud-Umgebungen ermöglichen können. Unternehmen können daher auch nach dem Ende einer konkreten Phishing-Kampagne weiterhin betroffen sein.

Barracuda sieht darin einen Hinweis darauf, dass sich Phishing-Bedrohungen nach erfolgreichen Strafverfolgungsmaßnahmen eher verlagern als vollständig verschwinden. Funktionen und Methoden, die durch Tycoon 2FA bekannt wurden, seien inzwischen in einer größeren Zahl von Plattformen integriert. Gleichzeitig beobachten die Analysten deren Einsatz in weiteren Angriffsszenarien, darunter Device-Code-Angriffe. Nach Einschätzung des Unternehmens gewinnen deshalb Schutzmaßnahmen an Bedeutung, die sich auf identitätsbasierte Angriffe und den Missbrauch von Sitzungen konzentrieren, anstatt ausschließlich einzelne Phishing-Kits zu erkennen.

it&d business Redaktion

Weitere Barracuda-News sowie Beiträge zu Cybersecurity, Cyber-Resilienz und Identitätssicherheit finden Sie hier.