Badacze CloudSEK ujawnili szczegóły działania BigBear 2.0, platformy phishing-as-a-service wymierzonej w użytkowników Microsoft 365. Atak wykorzystuje technikę Adversary-in-the-Middle i przechwytuje nie tylko dane logowania, ale również ciasteczka uwierzytelnionej sesji. Dzięki temu przestępca może uzyskać dostęp już po tym, jak użytkownik poprawnie wykona MFA. W panelu operacji badacze znaleźli ponad 5 tysięcy rekordów związanych z hasłami, sesjami i zakończonymi procesami uwierzytelniania.
Jak działa BigBear 2.0?
Według raportu CloudSEK o kampanii BigBear 2.0 platforma bazuje na Evilginx2. Fałszywa witryna działa jako pośrednik między ofiarą a prawdziwym logowaniem Microsoft 365. Użytkownik przechodzi proces logowania, ale dane i elementy sesji trafiają również przez infrastrukturę napastnika.
Po wykonaniu drugiego składnika uwierzytelniania BigBear może przechwycić ciasteczko sesji i odtworzyć je później. CloudSEK opisuje też JavaScript wykorzystywany do wyłączania obsługi FIDO2/WebAuthn w przeglądarce ofiary, aby skłonić ją do użycia słabszej metody uwierzytelniania.
Jaka była skala kampanii BigBear 2.0?
CloudSEK uzyskał dostęp do panelu administracyjnego operacji. Znalazł w nim 5 137 rekordów, w tym 1 032 hasła zapisane w postaci jawnej, 4 148 ciasteczek sesji oraz 474 kompletne przypadki przejścia procesu z obejściem MFA. Badacze wskazali 461 organizacji będących celami kampanii i 3 331 unikalnych adresów IP ofiar w ponad 40 krajach.
Co oznacza ten atak dla Microsoft 365?
BigBear 2.0 nie oznacza, że MFA przestało mieć sens. Pokazuje natomiast, że druga warstwa uwierzytelniania nie rozwiązuje problemu, jeśli użytkownik zostanie wciągnięty w sesję pośredniczoną przez napastnika, a ten przejmie gotowy token lub ciasteczko sesji. Dlatego nadal ważne jest rozpoznawanie próby phishingu oraz stosowanie metod uwierzytelniania odpornych na phishing.
Zobacz także co to jest phishing e-mail i jak go rozpoznać oraz jak dbać o bezpieczeństwo podczas logowania.
Źródło: CloudSEK – Tracking BigBear 2.0 Evilginx2 Phishing Campaign.