BigBear eludió la MFA en 258 organizaciones y robó más de 5.000 credenciales de Microsoft 365

La plataforma de phishing como servicio BigBear 2.0 se utilizó para eludir la autenticación multifactor (MFA) en 258 organizaciones y sustraer 5.137 registros de credenciales de Microsoft 365, según investigadores de CloudSEK. La operación seguía activa cuando se realizó el análisis.

CloudSEK obtuvo acceso de administrador al panel de control y observó 42 nodos VPS configurados para atacar Microsoft 365. El servicio emplea un marco basado en Evilginx2 que intercepta contraseñas y cookies de sesión autenticadas después de que la víctima completa el proceso de MFA.

Entre los registros exfiltrados había 474 autenticaciones completas con la MFA eludida, 1.032 contraseñas en texto plano y 4.148 cookies de sesión. Los datos afectaban a 3.331 direcciones IP únicas en más de 40 países. Aunque el conjunto de objetivos incluía 461 organizaciones, CloudSEK confirmó compromisos con elusión de MFA en 258 entidades distintas.

BigBear también utiliza JavaScript para interferir con la autenticación FIDO2/WebAuthn y forzar a las víctimas hacia métodos menos resistentes al phishing. Además, emplea proxies residenciales adaptados a la ubicación de la víctima en 69 países para reducir la probabilidad de que los sistemas de Microsoft detecten la actividad como sospechosa.

CloudSEK notificó a las fuerzas de seguridad y a varias organizaciones afectadas. En el momento del análisis, el panel de administración continuaba activo, aunque la infraestructura de phishing llevaba casi tres semanas desconectada. La compañía recomendó restablecer las contraseñas expuestas, revocar sesiones activas, renovar tokens y exigir una nueva autenticación en las cuentas con privilegios elevados.

Fuente: BleepingComputer.