В конце апреля 2026 года подразделение реагирования на угрозы компании eSentire (TRU) выявило масштабную фишинговую кампанию, которая объединила две опасные тенденции. Первая - это продолжение работы набора для фишинга как услуги (PhaaS) Tycoon 2FA, несмотря на мартовскую ликвидацию его инфраструктуры силами Microsoft и Европола при участии eSentire. Вторая - растущее использование механизма авторизации устройств OAuth (протокола делегированного доступа) для компрометации учётных записей Microsoft 365.
Описание
Атака начинается с того, что жертва переходит по ссылке в электронном письме, обработанной системой отслеживания Trustifi. В итоге пользователь, сам того не ведая, предоставляет токены OAuth устройству злоумышленника через легитимный процесс входа на microsoft.com/devicelogin. Между этими двумя точками находится четырёхуровневая цепочка доставки, основанная на браузере. При этом методы Tycoon 2FA остались практически неизменными по сравнению с версией для перехвата учётных данных, описанной TRU в апреле 2025 года, и версией после разгрома, задокументированной в апреле 2026-го.
Операторы Tycoon 2FA приспособили свой существующий набор для фишинга в качестве инфраструктуры доставки атак с кодом устройства OAuth. Изменилась только приманка, сам комплект остался прежним. Анализ исходного кода подтвердил четыре независимых признака, связывающих эту кампанию с предыдущими версиями: архитектура Check Domain, шифрование AES-CBC с жёстко заданными ключом и вектором инициализации "1234567890123456", защита от отладки и обёртка на HTML с Base64 и XOR. В новом варианте шифрование используется не для передачи учётных данных, а для сокрытия служебной информации сессии. Жертву никогда не просят ввести пароль.
Поддельное приложение, от имени которого действует злоумышленник, - Microsoft Authentication Broker (идентификатор 29d9ed98-a469-4536-ade2-f981bc1d605e). Это собственное приложение Microsoft, которое выдаёт токены для Exchange Online, Microsoft Graph и OneDrive для бизнеса. Одно успешное согласие даёт оператору работающие токены для всей поверхности Microsoft 365, при этом в журналах Entra это выглядит как обычное приложение Microsoft.
Активность оператора исходила из сети AS45102 (Alibaba Cloud), а в строке User-Agent использовались "node" и "undici" - характерные признаки HTTP-библиотек Node.js. Этот же номер автономной системы наблюдался в обеих версиях Tycoon 2FA примерно с 10 апреля 2026 года. Шаблон URL Check Domain (shivacrio[.]com/bytecore~tx1j8) совпадает с регулярным выражением, опубликованным TRU в апрельском обновлении, что подтверждает эффективность существующих методов обнаружения.
Цепочка заражения включает пять слоёв. Первый - HTML-страница, возвращаемая Cloudflare Workers, с зашифрованным AES-GCM содержимым, расшифровываемым в браузере жертвы. Второй - скрипт, выполняющий антианализ: проверку на headless-браузеры, подавление клавиш F12 и Ctrl+U, ловушку с debugger, а также запрос к ipinfo.io для блокировки исследователей, облачных провайдеров, песочниц, вендоров безопасности, AI-краулеров и потребительских VPN. Список блокировки расширен до 230 записей. Кроме того, кампания ограничена по времени: после 29 мая 2026 года страница выводит слово "Expired".
Третий слой - ложная CAPTCHA с брендом Microsoft, повторяющая те же проверки. После клика выполняется GET-запрос к Check Domain, который решает, показывать ли настоящую фишинговую приманку или безобидный сайт-прикрытие "NexusCore". Четвёртый слой - сама приманка: уведомление о голосовой почте Microsoft 365 с пошаговой инструкцией скопировать код и перейти на microsoft.com/devicelogin. Пятый слой - коммуникация с командным сервером через шифрованные запросы AES-CBC со статическим ключом.
Ключевая особенность атаки в том, что она не пытается перехватить пароль или обойти многофакторную аутентификацию. Протокол Device Authorization Grant изначально не имеет криптографической привязки между запрашивающим устройством и личностью пользователя. Жертва вводит код на подлинной странице Microsoft, проходит MFA (многофакторную аутентификацию) - и всё это на настоящей инфраструктуре Microsoft. Проблема в том, что она разрешает выдачу токенов устройству злоумышленника. MFA срабатывает, но не защищает от этой схемы.
В журналах Entra было зафиксировано, что после согласия оператор в течение секунд начал использовать токены для Exchange Online и Microsoft Graph. Даже после отзыва токенов система продолжала получать запросы с ошибкой 50173 ("срок действия предоставленного разрешения истёк из-за отзыва") - это сильный сигнал для расследования. В отчёте eSentire указано, что специалисты SOC немедленно изолировали пострадавшие учётные записи, отозвали активные сессии Microsoft Graph и принудительно вывели пользователей из всех приложений Entra.
Для защиты от подобных атак рекомендуется внедрить политики условного доступа Azure AD, блокирующие потоки аутентификации с кодом устройства для обычных пользователей, и требовать согласия администратора на все сторонние OAuth-приложения. Также следует включить непрерывную оценку доступа (CAE), чтобы отзыв токенов действовал почти мгновенно. Обнаружить компрометацию помогут запросы KQL, проверяющие входы от приложения Microsoft Authentication Broker с необычными User-Agent ("node", "undici"). Важно также регулярно проверять почтовые правила, выданные согласия OAuth и настройки пересылки.
Вывод: ликвидация инфраструктуры фишинговых наборов не уничтожает самих операторов. Они быстро адаптируются, меняя тип приманки, но оставляя неизменным код ядра. Использование легитимных платформ для отмывания репутации - Trustifi, Cloudflare Workers, ipinfo.io - стало отличительной чертой современных фишинговых сервисов. Решающее значение имеет проактивное обнаружение и быстрая реакция на инциденты, включая отзыв всей цепочки токенов.
Индикаторы компрометации
