Platform Phishing Tycoon 2FA dan Runtuhnya MFA Lama

Munculnya kit phishing Tycoon 2FA harus menjadi peringatan global bagi setiap perusahaan. Ini bukan alat untuk peretas elit. Ini adalah kit turnkey yang dapat digunakan oleh siapa pun yang memiliki browser untuk melewati MFA dan aplikasi autentikasi yang sangat diandalkan oleh perusahaan. Dan itu digunakan dalam skala besar.

Lebih dari 64.000 serangan telah dilacak tahun ini, banyak di antaranya menargetkan Microsoft 365 dan Gmail karena platform tersebut mewakili jalur termudah dan tercepat menuju suatu perusahaan.

Phishing sebagai Layanan, Tidak Perlu Keterampilan

Kekuatan Tycoon 2FA berasal dari menghilangkan kebutuhan akan keterampilan teknis. Ini adalah Phishing sebagai Layanan, dikemas sepenuhnya, dipoles, dan otomatis. Seorang remaja yang tidak dapat menulis sebaris kode pun dapat menerapkannya. Kit ini memandu operator melalui pengaturan. Ini menyediakan halaman login palsu. Ini memutar server proxy terbalik.

Itu melakukan semua pekerjaan berat. Penyerang hanya mengirimkan tautan ke ratusan karyawan Anda dan menunggu satu orang menggigitnya.

Relai MFA Waktu Nyata dan Pengambilalihan Sesi Total

Setelah korban mengklik, Tycoon 2FA akan melakukan sisanya. Ini mencegat nama pengguna dan kata sandi secara real time. Ini menangkap cookie sesi. Ini memproksi aliran MFA langsung ke Microsoft atau Google. Korban mengira mereka hanya melewati pemeriksaan keamanan, namun mereka mengautentikasi penyerang.

Ini adalah bagian yang menakutkan. Bahkan pengguna yang sudah terlatih pun akan tertipu karena semuanya tampak identik dengan piksel sempurna. Halamannya dinamis, menarik tanggapan langsung dari server yang sah.

Jika Microsoft mengatakan masukkan kode Anda, halaman akan diperbarui secara instan. Jika Google mengirimkan perintah, perintah tersebut akan muncul persis seperti yang diharapkan. Tidak ada perbedaan yang terlihat. Tidak ada petunjuk. Dan tidak ada cara bagi MFA atau aplikasi autentikator lama untuk menghentikannya karena Tycoon memang sengaja berada di tengah-tengah.

Dibangun untuk Menghindari Deteksi

Ini menjadi lebih buruk. Tycoon 2FA menyertakan lapisan anti deteksi yang menyaingi jenis malware komersial. Pengkodean Base64. Kompresi senar LZ. DOM menghilang. Kebingungan CryptoJS. Pemfilteran bot otomatis. Tantangan CAPTCHA. Pemeriksaan debugger.

Peralatan tersebut menyembunyikan diri dari pemindai dan peneliti. Ia hanya mengungkapkan perilaku aslinya ketika target manusia tiba. Dan setelah relai autentikasi selesai, penyerang mendapatkan akses sesi penuh di dalam Microsoft 365 atau Gmail.

Dari sana mereka berpindah secara lateral ke SharePoint, OneDrive, email, Teams, sistem SDM, sistem keuangan. Satu phish yang berhasil menciptakan kompromi total.

MFA Lama Telah Runtuh

Inilah sebabnya MFA lama runtuh. Anda baru saja meluncurkannya membuat perusahaan Anda menjadi honeypot. Kode SMS. Pemberitahuan push. aplikasi TOTP. Semua memiliki kelemahan yang sama. Mereka mengandalkan perilaku pengguna. Mereka bergantung pada harapan bahwa pengguna menyadari ada sesuatu yang salah.

Mereka menawarkan rahasia bersama kepada penyerang yang dapat disadap, diteruskan, atau diputar ulang. Tycoon 2FA dan lusinan perangkat serupa mengeksploitasi hal itu. Mereka mengubah pengguna menjadi vektor serangan. Bahkan kunci sandi terbukti rentan ketika disinkronkan melalui akun cloud atau ketika ada jalur pemulihan cadangan yang dapat direkayasa secara sosial.

Penyerang memahami hal ini sepenuhnya. Kelompok kriminal seperti Scattered Spider, Octo Tempest, dan Storm 1167 menggunakan peralatan ini setiap hari. Ini adalah metode serangan yang paling cepat berkembang di dunia karena mudah, terukur, dan tidak memerlukan kecanggihan teknis.

Perusahaan meluncurkan aplikasi MFA dan autentikator hanya untuk mengetahui bahwa sistem ini gagal saat kit phishing memutuskan untuk menargetkannya. Kebenarannya sederhana. Jika seseorang dapat mengelabui karyawan Anda agar memasukkan kode atau menyetujui perintah, penyeranglah yang menang. Dan Tycoon melakukan hal itu.

Jalan ke Depan: MFA Anti Phishing

Namun masih ada jalan ke depan dan penerapannya dapat dilakukan dengan cepat dan mudah. Identitas bukti phishing biometrik dibangun pada perangkat keras FIDO2. Otentikasi yang berbasis kedekatan, terikat domain, dan tidak mungkin untuk diteruskan atau dipalsukan. Sebuah sistem di mana tidak ada kode untuk dimasukkan, tidak ada perintah untuk menyetujui, tidak ada rahasia bersama untuk disadap, dan tidak ada cara untuk mengelabui pengguna agar membantu penyerang.

Sebuah sistem yang menolak situs palsu secara otomatis. Sebuah sistem yang memaksa pencocokan sidik jari biometrik langsung pada perangkat fisik yang harus berada di dekat komputer yang sedang login.

Ini mengubah segalanya karena menghapus pengguna dari pohon keputusan. Alih-alih berharap seseorang mengenali halaman login palsu, pengautentikasi sendiri memeriksa halaman aslinya secara kriptografis.

Alih-alih berharap seseorang menolak permintaan push yang berbahaya, pengautentikasi tidak pernah menerima permintaan push sama sekali. Alih-alih meminta orang untuk menjadi sempurna, sistem memverifikasi identitas dengan perangkat keras, bukan penilaian.

Model Token

Ini adalah model di baliknya Token Ring dan Token BioStick. Bukti phishing berdasarkan arsitektur. Biometrik sesuai kebutuhan. Kedekatan berdasarkan secara default. Domain terikat oleh kriptografi.

Tidak ada kode untuk dicuri. Tidak ada persetujuan untuk menipu. Tidak ada alur pemulihan yang dapat dieksploitasi oleh penipu. Meskipun pengguna mengklik link yang salah. Bahkan jika pengguna menyerahkan kata sandi (jika mereka memilikinya). Bahkan jika seorang insinyur sosial menelepon dengan berpura-pura menjadi IT. Otentikasi gagal karena domain tidak cocok dan sidik jari tidak ada.

Tycoon 2FA menabrak tembok. Relai rusak. Serangan itu langsung mati. Dan solusi ini tidak mahal dan tersedia saat ini.

Perusahaan yang menggunakan perangkat ini melaporkan sesuatu yang penting. Karyawan dapat dengan mudah mematuhi solusi nirkabel tanpa kata sandi ini. Otentikasi cepat (2 detik). Tidak ada yang perlu diingat. Tidak ada yang perlu diketik. Tidak ada yang perlu disetujui. Ini adalah pengalaman pengguna yang lebih baik dan postur keamanan yang jauh lebih kuat.

Ketika identitas terikat pada perangkat biometrik fisik yang menerapkan pemeriksaan asal dan persyaratan kedekatan, perangkat phishing menjadi tidak relevan.

Kenyataan yang Harus Dihadapi Setiap Perusahaan

Inilah saatnya yang harus diterima oleh setiap perusahaan. Para penyerang telah berevolusi dan pertahanannya juga harus berevolusi. MFA lama tidak dapat bertahan dari ancaman ini. Aplikasi autentikator tidak dapat bertahan dari ancaman ini. Kunci sandi kesulitan di bawahnya. Tycoon 2FA membuktikan bahwa sistem apa pun yang meminta pengguna untuk memasukkan atau menyetujui apa pun dapat dikalahkan dalam hitungan detik.

Inilah kebenaran dalam bahasa yang sederhana. Jika MFA Anda dapat ditipu oleh situs web palsu, berarti situs tersebut sudah disusupi. Jika otentikasi Anda dapat diteruskan, itu akan terjadi. Jika sistem Anda bergantung pada penilaian pengguna, sistem Anda akan gagal. Identitas berbasis perangkat keras biometrik yang anti phishing, terikat kedekatan, dan domain terkunci adalah satu-satunya cara untuk maju.

Disponsori dan ditulis oleh Token.