Tycoon2FA 釣魚工具包發布重大更新，強化反偵測能力

釣魚即服務（PhaaS）平台升級反偵測功能
網路安全公司Sekoia於2023年發現的釣魚工具包Tycoon2FA近期發布重大更新，顯著提升了其反偵測能力。該工具包現採用多項高級規避技術，包括透過HTML5 canvas實現的自訂驗證碼、混淆JavaScript中插入的不可見Unicode字符，以及反調試腳本等。

新型混淆技術幹擾靜態分析
Trustwave研究報告指出："近期Tycoon2FA釣魚頁面採用了一種巧妙的混淆技術，利用不可見Unicode字元配合JavaScript Proxy對象，有效增加了靜態分析難度，並將腳本執行延遲至運行時。"研究人員在一個真實案例中展示了該技術，相關分析可透過Urlscan.io會話查看。

自訂驗證碼系統規避偵測
Tycoon2FA棄用了Cloudflare Turnstile等第三方驗證碼服務，轉而採用基於HTML5 canvas的自訂解決方案。透過隨機文字、雜訊和扭曲效果，新系統不僅能規避偵測、減少指紋特徵，還能有效阻礙自動化分析工具的運作。

多重反調試機制延長攻擊週期
此釣魚即服務平台部署了多重反偵錯腳本，可阻斷開發者工具、偵測自動化程式、停用右鍵功能並識別暫停執行狀態。當偵測到分析行為時，系統會自動跳轉至rakuten.com網站，既增強了隱蔽性，又延長了釣魚活動的存活週期。


安全防禦建議
研究報告總結："Tycoon2FA的最新更新明顯轉向隱蔽規避方向。雖然單項技術並無突破，但組合使用會大幅增加檢測和響應難度。"報告同時提供了檢測用的Yara規則，並建議安全團隊採用基於行為的監控、瀏覽器沙箱環境以及對JavaScript模式的深度檢測等方法來應對這些新型攻擊手法。