Wprowadzenie do problemu / definicja
BigBear 2.0 to platforma phishing-as-a-service (PhaaS) zaprojektowana do przejmowania kont Microsoft 365 z wykorzystaniem techniki adversary-in-the-middle (AiTM). W praktyce atak nie polega na klasycznym łamaniu mechanizmu uwierzytelniania wieloskładnikowego, lecz na pośredniczeniu w prawdziwym procesie logowania, przechwytywaniu poświadczeń oraz ciasteczek sesyjnych użytkownika.
Taki model działania pokazuje, że tradycyjne MFA oparte na kodach SMS, aplikacjach OTP czy prostych powiadomieniach push nie zawsze chroni przed nowoczesnym phishingiem wymierzonym w tożsamość. Jeżeli napastnik przejmie aktywną sesję, może uzyskać dostęp do konta bez ponownego przechodzenia drugiego składnika.
W skrócie
- BigBear 2.0 to zestaw PhaaS ukierunkowany na konta Microsoft 365.
- Kampania wykorzystywała mechanizm AiTM oparty na frameworku Evilginx2.
- Według ustaleń badaczy obejście MFA miało dotknąć 258 organizacji.
- Panel operatorski obsługiwał 42 węzły VPS skoncentrowane wyłącznie na Microsoft 365.
- Ujawnione dane wskazują na kradzież ponad 5 tys. rekordów poświadczeń, w tym aktywnych sesji po MFA.
Kontekst / historia
Phishing proxy oraz zestawy AiTM nie są nowością, ale w ostatnich latach wyraźnie dojrzały operacyjnie. Narzędzia takie jak Evilginx2 zdobyły popularność, ponieważ pozwalają cyberprzestępcom atakować użytkowników usług chmurowych bez potrzeby wykorzystywania podatności po stronie samego dostawcy.
BigBear 2.0 wpisuje się w ten trend, lecz wyróżnia się skalą i poziomem organizacji. Z dostępnych ustaleń wynika, że operatorzy korzystali z panelu administracyjnego umożliwiającego zarządzanie infrastrukturą phishingową, obsługę wielu węzłów oraz dystrybucję skradzionych danych. To kolejny sygnał, że przestępczość ukierunkowana na tożsamość w chmurze staje się coraz bardziej sprofesjonalizowana.
Dla firm korzystających z Microsoft 365 ma to szczególne znaczenie. Konta pocztowe i dostęp do usług współpracy są dziś jednym z najważniejszych punktów wejścia do dalszych etapów ataku, w tym do oszustw BEC, kradzieży dokumentów czy ruchu bocznego przez mechanizmy single sign-on.
Analiza techniczna
Rdzeniem operacji był atak AiTM, w którym ofiara trafiała na fałszywą stronę logowania pełniącą rolę odwrotnego proxy między użytkownikiem a prawdziwym systemem uwierzytelniania Microsoft. Ofiara wpisywała login i hasło, a następnie realizowała drugi składnik uwierzytelnienia w interfejsie przypominającym legalny portal.
Cały ruch przechodził jednak przez infrastrukturę kontrolowaną przez napastnika. Po poprawnym uwierzytelnieniu serwer tożsamości wystawiał sesję oraz odpowiednie cookies lub tokeny. To właśnie one były przechwytywane przez złośliwy serwer proxy, a następnie wykorzystywane do odtworzenia legalnie uwierzytelnionej sesji po stronie atakującego.
W analizowanej kampanii stosowano konfiguracje phishingowe przygotowane specjalnie pod Microsoft 365. Infrastrukturę wspierały również geograficznie dopasowane proxy rezydencyjne, co mogło utrudniać wykrywanie anomalii opartych wyłącznie na lokalizacji logowania lub późniejszego użycia sesji.
Istotnym elementem był także kod JavaScript ingerujący w obsługę FIDO2 i WebAuthn po stronie przeglądarki. Celem takiej manipulacji nie było złamanie tych technologii, lecz zepchnięcie użytkownika do słabszych metod uwierzytelniania, które łatwiej obsłużyć w modelu phishing proxy.
Z technicznego punktu widzenia problem nie dotyczy kompromitacji samego MFA jako protokołu kryptograficznego. Atak uderza w warstwę sesji i wykorzystuje fakt, że po udanym logowaniu przeglądarka otrzymuje artefakty sesyjne, które mogą zostać skradzione, jeśli użytkownik komunikuje się z usługą przez złośliwego pośrednika.
Konsekwencje / ryzyko
Skuteczne przejęcie sesji Microsoft 365 może otworzyć napastnikowi dostęp do poczty, OneDrive, SharePoint, Teams oraz innych aplikacji powiązanych z tym samym kontekstem tożsamości. W organizacji oznacza to ryzyko wycieku danych, podszywania się pod pracowników, nadużyć finansowych i eskalacji incydentu do kont o wyższych uprawnieniach.
Szczególnie groźne są scenariusze business email compromise. Napastnik mający dostęp do prawdziwej skrzynki może analizować relacje biznesowe, tworzyć reguły ukrywające wiadomości, monitorować obieg faktur i prowadzić bardzo wiarygodne oszustwa wobec kontrahentów lub działów finansowych.
Problem pogłębia fakt, że wiele organizacji nadal traktuje tradycyjne MFA jako wystarczającą ochronę przed phishingiem. Kampanie takie jak BigBear 2.0 pokazują, że sam drugi składnik nie eliminuje ryzyka, jeśli nie jest odporny na pośrednictwo i nie towarzyszą mu dodatkowe zabezpieczenia związane z urządzeniem, kontekstem dostępu i monitoringiem sesji.
Rekomendacje
Najważniejszym kierunkiem obrony jest wdrażanie phishing-resistant MFA. W praktyce oznacza to preferowanie FIDO2, passkeys, Windows Hello for Business oraz innych metod, które są znacznie bardziej odporne na przechwycenie w modelu AiTM. Równocześnie warto ograniczać lub wycofywać słabsze formy uwierzytelniania, takie jak SMS OTP czy proste zatwierdzanie push.
Organizacje powinny też wzmacniać polityki dostępu warunkowego i opierać je nie tylko na lokalizacji, lecz przede wszystkim na stanie urządzenia, poziomie ryzyka logowania, sile uwierzytelnienia i kontekście aplikacji. Sam sygnał geograficzny bywa niewystarczający, zwłaszcza gdy przeciwnik korzysta z proxy rezydencyjnych dopasowanych do regionu ofiary.
W przypadku podejrzenia kompromitacji warto podjąć następujące działania:
- zresetować hasło użytkownika,
- unieważnić aktywne sesje,
- odwołać lub odświeżyć tokeny dostępu,
- wymusić ponowne uwierzytelnienie,
- sprawdzić reguły skrzynki pocztowej i delegacje,
- przeanalizować nietypowe aplikacje OAuth,
- zbadać logi pod kątem anomalii w sesjach i użyciu tokenów.
Zespoły SOC powinny monitorować oznaki kradzieży ciasteczek sesyjnych, nietypowe zmiany w aktywnych sesjach webowych, nowe lokalizacje dostępu do poczty oraz działania wykonywane bezpośrednio po poprawnym logowaniu użytkownika. Istotne pozostaje także szkolenie pracowników, choć przy zaawansowanych kampaniach samo podnoszenie świadomości nie zastąpi skutecznych mechanizmów technicznych.
Podsumowanie
BigBear 2.0 potwierdza, że współczesny phishing coraz częściej koncentruje się na przejęciu sesji, a nie tylko na kradzieży hasła. Kampania wymierzona w Microsoft 365 pokazuje, że dobrze przygotowany zestaw AiTM może skutecznie obchodzić tradycyjne MFA i prowadzić do kompromitacji kont na dużą skalę.
Dla organizacji wniosek jest jednoznaczny: MFA nadal pozostaje niezbędne, ale musi być odporne na phishing i wspierane przez dojrzałe polityki dostępu warunkowego, kontrolę urządzeń oraz skuteczne procesy wykrywania i reagowania na incydenty tożsamościowe.
Źródła
- BleepingComputer — BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations — https://www.bleepingcomputer.com/news/security/bigbear-microsoft-365-phishing-service-bypassed-mfa-at-258-organizations/
- CloudSEK — Tracking BigBear 2.0 Evilginx2 Phishing Campaign — https://www.cloudsek.com/blog/tracking-bigbear-2-0-evilginx2-phishing-campaign
- Microsoft Learn — Phishing-resistant MFA — https://learn.microsoft.com/en-us/security/zero-trust/sfi/phishing-resistant-mfa
- Microsoft Security Blog — Detecting and mitigating a multi-stage AiTM phishing and BEC campaign — https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/
- Microsoft Learn — Alert grading for session cookie theft alert – Microsoft Defender XDR — https://learn.microsoft.com/en-us/defender-xdr/session-cookie-theft-alert