Unzerstörbare Phishing-as-a-Service-Plattformen Warum Phishing-Kits wie Tycoon 2FA Zerschlagungen einfach überleben

Tycoon 2FA war eine der bekanntesten und effektivsten Phishing-as-a-Service-Plattformen (PhaaS) und monatlich für mehr als neun Millionen Angriffe verantwortlich, bevor Europol Anfang 2026 mehr als 300 Domains und die Backend-Infrastruktur der Plattform beschlagnahmte. Die Threat Insights von Barracuda Research zeigen, warum sich Angreifer davon kaum beeindrucken ließen.

Das Phishing-Modell von Tycoon 2FA basierte auf einem Adversary-in-the-Middle-(AiTM)-Ansatz, der es Angreifern ermöglichte, Benutzernamen und Passwörter abzufangen und Cookies aktiver Sitzungen zu stehlen, während sie zugleich die Kontrollen der Multi-Faktor-Authentifizierung (MFA) umgingen. Der Dienst war als Abonnement erhältlich und ließ sich mit nur wenig oder auch ohne Fachwissen einsetzen. Trotz wachsender Konkurrenz durch aggressive neue Akteure behauptete Tycoon seine Führungsposition durch kontinuierliche Innovation und ein breites, effektives Toolkit.

Diese Situation änderte sich Anfang 2026, als Europol und internationale Partner eine koordinierte Strafverfolgungsoffensive durchführten, im Rahmen derer mehr als 300 Domains beschlagnahmt wurden und die Backend-Dienste von Tycoon 2FA zerschlagen wurden. Zunächst wirkte diese Offensive wie ein entscheidender Schlag gegen Tycoon 2FA, aber schon innerhalb weniger Wochen berichteten Bedrohungsanalysten, dass die Aktivitäten der Plattform bereits wieder das Niveau vor der Zerschlagung erreicht hätten.

Die Threat Insights von Barracuda Research zeichnen ein komplexeres Bild. Die Analyse hebt einige wichtige Erkenntnisse für Verteidiger hervor, wie sich das Phishing-as-a-Service-Ökosystem an Störungen anpasst und worauf sich Sicherheitsstrategien konzentrieren sollten.

MFA schützt nicht vor Tycoon 2FA mit PaaS-Ansatz

Gezielte Phishing-Angriffe auf Gmail und Microsoft 365

Was sich nach der Zerschlagung von Tycoon 2FA geändert hat

Die Zerschlagung der Plattform hatte signifikante Folgen: Tycoons Marke, seine Hosting-Muster und die Sichtbarkeit seiner Kampagnen gingen deutlich zurück. Mit dem Dienst verbundene Domains verschwanden von der Bildfläche und auch seine zentrale Infrastruktur wurde zerschlagen. Die Aktion beseitigte jedoch weder den Code noch die Tools und Techniken, die Tycoon erfolgreich gemacht hatten und die im Laufe der Zeit von den verbündeten Kunden verbreitet, verändert und weiterverwendet worden waren.

Auch das Volumen der Phishing-Aktivitäten wurde durch die Zerschlagung nicht wesentlich beeinträchtigt. In den darauffolgenden Wochen handelten andere PhaaS-Plattformen schnell, um sich einen Teil des bisher von Tycoon 2FA beanspruchten Marktanteils zu sichern. Dabei wurden verstärkt Kampagnen durchgeführt, an denen sowohl die etablierten Plattformen Mamba 2FA und EvilProxy als auch aggressive neue Akteure wie Sneaky 2FA und Whisper 2FA beteiligt waren. Diese Kits bauten ihre Funktionspalette und die Reife ihrer Infrastruktur aus, wobei sie häufig auf Tools zurückgriffen, die zuvor von Tycoon 2FA genutzt wurden.

MFA-Aushebelung auf dem Vormarsch

SSO-Phishing-Kampagne trifft 18 US-Universitäten

Warum Tycoon 2FA nicht wirklich verschwunden ist

Als Phishing-Dienst basierte das Geschäftsmodell von Tycoon 2FA darauf, seinen Code und seine Infrastruktur mit seinen Partnern zu teilen. Bei vielen dieser Partner handelte es sich um unabhängig agierende Cyberkriminelle, die ihrerseits Varianten des Codes erstellt, genutzt und weitergegeben hatten. Dementsprechend wurden auch nach der Zerschlagung von Tycoon 2FA weiterhin Spuren von Aktivitäten entdeckt, die auf Tycoon 2FA zurückzuführen waren. Das bedeutet auch, dass unabhängig gehostete Tycoon-Deployments weiterhin aktiv sind und zersplitterte Kampagnen mit geringem Volumen fortbestehen.

Die Bedrohungsanalysten von Barracuda haben kürzlich eine Device-Code-Phishing-Kampagne aufgedeckt, die den Techniken von Tycoon 2FA bis hin zur charakteristischen Verwendung von in den Code eingebetteten motivierenden Sätzen sehr ähnlich war. Die Kampagne nutzte außerdem dieselben Mechanismen zur Analyseabwehr, zum Anti-Debugging und zur Weiterleitung, die bereits bei früheren Tycoon 2FA-Aktivitäten beobachtet wurden.

Was diese Entwicklung für die aktuelle Phishing-Landschaft bedeutet:

• Phishing-Kits verhalten sich heute wie Open-Source-Ökosysteme und nicht mehr wie statische Tools. Code wird geteilt, angepasst und neu aufgebaut. Erfolgreiche Funktionen verbreiten sich schnell. Erkennungsregeln, die an ein bestimmtes Kit oder eine bestimmte Marke gebunden sind, bleiben daher selten lange relevant.

• Selbst wenn die Infrastruktur gestört wird, enden Phishing-Aktivitäten nicht abrupt. Domains bleiben bis zu ihrem Ablauf aktiv. Backup-Hosting bleibt bestehen. Kleinere Kampagnen laufen im Hintergrund weiter. Frameworks sind von Grund auf redundant aufgebaut, sodass Angreifer schnell neu starten und laufende Operationen aufrechterhalten können.

• Angriffstechniken verschwinden nicht, sondern wandern zwischen unterschiedlichen Gruppen weiter.

• Erfolgreiche Methoden werden plattformübergreifend verfeinert und wiederverwendet.

• Die Zerschlagung einer Phishing-Plattform entzieht Angreifern nicht automatisch bereits erlangte Zugänge. Gestohlene Session-Cookies bleiben gültig. OAuth-Missbrauch (Open Authorization) kann fortbestehen. Betroffene Umgebungen können noch lange kompromittiert bleiben, selbst wenn die Phishing-E-Mails längst aufgehört haben.

Zwei Millionen kompromittierte Geräte

Google und FBI zerschlagen NetNut-Proxy-Netzwerk

Weitere aktuelle Entwicklungen in der Phishing-Landschaft

Phishing-Kits werden immer ausgefeilter, flexibler und deutlich schwerer zu erkennen. Anstatt sich auf vorgefertigte Templates zu verlassen, nutzen Angreifer zunehmend Tools, um detaillierte Profile ihrer potenziellen Opfer zu erstellen und jeden Angriff individuell auf die Person, ihr Endgerät und ihre aktuellen Aktivitäten anpassen zu können.

Viele Kits sind mittlerweile darauf ausgelegt, strenge Sicherheitskontrollen wie Multi-Faktor-Authentifizierung zu umgehen, indem sie Login-Tokens stehlen, Anmeldefunktionen wie OAuth missbrauchen oder die Authentifizierung unbemerkt über legitime Websites weiterleiten. Künstliche Intelligenz (KI) beschleunigt diese Entwicklung noch einmal, da sie es Cyberkriminellen ermöglicht in großem Maßstab realistische und personalisierte Nachrichten zu generieren und Kampagnen schnell anzupassen, sobald eine Methode nicht mehr funktioniert.

Abwehrstrategien müssen sich auf das gesamte Phishing-Modell, anstatt auf einzelne Gruppen, konzentrieren. Konkret bedeutet dies, dass der rasante Anstieg identitätsbasierter Angriffe, der Missbrauch von Sitzungen und Cloud-Zugängen sowie die für Angreifer relevanten wirtschaftlichen Faktoren berücksichtigt werden müssen. Denn wie die Threat Insights von Barracuda aufzeigen, bestehen die Angriffsmuster auch dann fort, wenn sich die von den Angreifern verwendeten Tools ändern.

Über den Autor: Jesus Cordero-Guzman ist Director, Solution Architects, EMEA, Office of the CTO, bei Barracuda Networks.

Trotz Zerschlagung im Mai 2025

LummaStealer hat überlebt

(ID:50908426)