Sneaky2FA und Tycoon 2FA: Neue Phishing-Infrastruktur schützt Angreifer vor Security-Scannern

Phishing-Angriffe werden nicht nur raffinierter – sie verlagern entscheidende Teile ihrer Infrastruktur zunehmend aus dem Sichtfeld klassischer Sicherheitslösungen. Ein vom KnowBe4 Threat Labs untersuchtes Redirector-Kit nutzt kompromittierte legitime Websites als Tarnschicht und kann dadurch Secure Email Gateways sowie URL-Scanner umgehen. Besonders brisant: Hinter der Weiterleitungsinfrastruktur lauern Adversary-in-the-Middle-Plattformen, die selbst erfolgreich durchgeführte MFA-Anmeldungen kompromittieren können.

Legitime Websites werden zur Tarnschicht

Die Sicherheitsforscher des KnowBe4 Threat Labs haben eine aktive Phishing-Infrastruktur analysiert , die von ihren Betreibern selbst als „Bulletproof“ bezeichnet wird. Im Zentrum steht ein sogenanntes Blind-Redirector-Kit, das die eigentliche Angriffsinfrastruktur hinter kompromittierten, aber grundsätzlich legitimen Websites verbirgt.

Für klassische E-Mail-Sicherheit entsteht damit ein grundlegendes Problem: Die in einer Phishing-Mail enthaltene URL verweist zunächst weder auf eine bekannte Schadseite noch unmittelbar auf die Infrastruktur der Angreifer. Stattdessen führt sie zu einer zuvor kompromittierten Website.

Das eigentliche Phishing-Ziel wird erst nach dem Klick sichtbar

Zwischen dem 29. April und dem 14. Juli 2026 beobachteten die Forscher Tausende entsprechender E-Mails, die über Dutzende kompromittierter Websites zugestellt wurden. Nach Angaben von KnowBe4 wurden diese von herkömmlichen Secure Email Gateways nicht erkannt. Das eigentliche Ziel bleibt unsichtbar

Technisch nutzt das Kit unter anderem serverseitige Kampagnen-Token. Dadurch befindet sich die tatsächliche Zieladresse nicht direkt in der E-Mail.

Nach dem Klick ruft ein PHP-Skript das Angriffsziel serverseitig ab. Dem Opfer wird zunächst ein gefälschter OneDrive-Ladebildschirm präsentiert. Wenige Sekunden später erfolgt die Weiterleitung zur eigentlichen Adversary-in-the-Middle-Infrastruktur.

Zusätzlich versucht das Redirector-Kit, seine Spuren zu verwischen: Die ursprüngliche Redirector-URL wird aus dem Browserverlauf entfernt.

Damit erschweren die Angreifer nicht nur die Erkennung, sondern schützen insbesondere ihre wertvollste Ressource – das AiTM-Backend. Diese Infrastruktur, über die Zugangsdaten und authentifizierte Sitzungen abgefangen werden, taucht zu keinem Zeitpunkt direkt in der Phishing-E-Mail auf.

Scanner sehen etwas anderes als das Opfer

Die Tarnung geht noch einen Schritt weiter. Das Kit analysiert unter anderem IP-Adresse und User-Agent, um zwischen realen Anwendern und automatisierten Sicherheitssystemen zu unterscheiden.

Nur wenn die Anfrage die vorgesehenen Prüfungen besteht, wird das tatsächliche Angriffsziel ausgeliefert. Automatisierte URL-Scanner können deshalb eine harmlose oder unauffällige Antwort erhalten, während einem realen Nutzer die Phishing-Infrastruktur präsentiert wird.

Damit attackiert das Verfahren eine zentrale Annahme vieler Sicherheitslösungen: dass eine URL automatisiert aufgerufen und anschließend zuverlässig bewertet werden kann.

Hinzu kommt die hohe Austauschbarkeit der Infrastruktur. Kompromittierte Websites fungieren praktisch als Wegwerf-Redirectoren. Sobald ein Host entdeckt, blockiert oder bereinigt wird, können die Angreifer ihn durch einen anderen ersetzen.

Sneaky2FA und Tycoon 2FA zielen auf Sessions

Nach Angaben von KnowBe4 wurden hinter den Redirectoren unter anderem Sneaky2FA und Tycoon 2FA beobachtet. Beide gehören zur Kategorie der Adversary-in-the-Middle-Phishing-Kits.

Dabei schaltet sich der Angreifer zwischen Nutzer und legitimen Authentifizierungsdienst. Die gefälschte Anmeldeseite leitet Eingaben und Authentifizierungsvorgänge nahezu in Echtzeit an den echten Dienst weiter.

Genau hier liegt die besondere Gefahr: Auch wenn der Anwender seine Multi-Faktor-Authentifizierung korrekt durchführt, kann der Angreifer anschließend das bereits authentifizierte Session-Token übernehmen.

Er benötigt dann weder das Passwort erneut noch einen zweiten MFA-Code. Die gestohlene Sitzung kann ihm unmittelbar Zugriff auf das Konto ermöglichen.

Vertrauenswürdige Absender erhöhen die Trefferquote

Zusätzliche Glaubwürdigkeit erhalten die Kampagnen durch etablierte Versand- und Dokumentenplattformen. Laut Analyse entfielen 34 Prozent der beobachteten Zustellungen auf Absenderinfrastrukturen von QuickBooks und DocuSign.

Für Anwender entsteht dadurch eine gefährliche Kombination: bekannte Absenderdienste, eine zunächst legitime URL, eine überzeugend gestaltete Microsoft-Anmeldeseite und schließlich sogar eine reale MFA-Abfrage.

Jedes einzelne dieser Signale kann Vertrauen erzeugen – obwohl sich der Nutzer bereits mitten in einem Angriff befindet.

Klassische E-Mail-Sicherheit greift zu kurz

Das „Bulletproof“-Kit zeigt exemplarisch, wie sich moderne Phishing-Infrastrukturen zunehmend darauf konzentrieren, Sicherheitskontrollen nicht frontal zu überwinden, sondern ihnen schlicht möglichst wenig verwertbare Angriffsinfrastruktur zu präsentieren. Secure Email Gateways und URL-Reputationsdienste bleiben wichtige Verteidigungsschichten. Werden Domains, Redirectoren und Backend-Infrastruktur jedoch konsequent voneinander getrennt und Inhalte abhängig vom Besucher ausgeliefert, sinkt die Aussagekraft klassischer Prüfverfahren.

Auch MFA darf deshalb nicht pauschal mit Phishing-Resistenz gleichgesetzt werden. Verfahren, bei denen authentifizierte Sessions über einen Proxy abgegriffen werden können, reduzieren das Risiko zwar erheblich, verhindern AiTM-Angriffe aber nicht grundsätzlich.

Phishing-resistente MFA wird wichtiger

KnowBe4 empfiehlt deshalb insbesondere phishing-resistente Authentifizierungsverfahren wie FIDO2 beziehungsweise Hardware Security Keys. Durch die Bindung der Authentifizierung an die jeweilige Website beziehungsweise Domain können entsprechende Verfahren nicht ohne Weiteres über einen fremden Proxy weitergereicht werden.

Ergänzend sollten Unternehmen Kontextinformationen stärker in ihre Zugangskontrollen einbeziehen. Dazu gehören beispielsweise Gerätekonformität, ungewöhnliche Standorte, auffällige Autonomous System Numbers und Anmeldeversuche aus unbekannten Netzen.

Auch das Monitoring authentifizierter Sessions gewinnt an Bedeutung. Eine Anmeldung von einer neuen IP-Adresse unmittelbar nach einer erfolgreichen MFA-Authentifizierung kann ein Hinweis darauf sein, dass ein Session-Token über eine AiTM-Infrastruktur abgefangen wurde.

Die Konsequenz reicht jedoch über zusätzliche technische Kontrollen hinaus. Nutzer müssen verstehen, dass weder eine professionell aussehende Microsoft-Anmeldeseite noch eine tatsächlich funktionierende MFA-Abfrage automatisch beweisen, dass eine Website legitim ist. Die beobachteten Zustellungen gingen laut KnowBe4 ab Mitte Juni zwar zurück. Die zugrunde liegende Infrastruktur blieb jedoch aktiv – und das Angriffskonzept lässt sich problemlos auf neue Domains, kompromittierte Websites und Phishing-Kampagnen übertragen.