Una nuova operazione di Phishing-as-a-Service (PhaaS), denominata BigBear 2.0, sta prendendo di mira gli account Microsoft 365, riuscendo a esfiltrare migliaia di credenziali e cookie di sessione, con un focus particolare sui fornitori di servizi IT.
Ricercatori di sicurezza hanno recentemente portato alla luce una sofisticata operazione di Phishing-as-a-Service (PhaaS), identificata come BigBear 2.0. Questa minaccia, basata sul framework adversary-in-the-middle (AitM) noto come Evilginx2, ha dimostrato una notevole efficacia nel compromettere account Microsoft 365, esfiltrando un numero significativo di credenziali e cookie di sessione.
Secondo le analisi condotte da CloudSEK, che è riuscita ad ottenere l'accesso al pannello di controllo di BigBear 2.0, l'operazione ha colpito oltre 3300 indirizzi IP unici distribuiti in più di 40 nazioni. L'operatore principale, che utilizza lo pseudonimo "General Boss", ha gestito un'infrastruttura composta da 42 nodi VPS, prevalentemente ospitati da The Constant Company LLC (Vultr). Questi nodi erano configurati specificamente per sfruttare un "phishlet" chiamato 'offy', progettato esclusivamente per attaccare Microsoft 365.
L'efficacia di BigBear 2.0 è amplificata dall'uso di tecniche avanzate. Tra queste figurano pool di proxy residenziali geo-localizzati, che rendono più difficile l'identificazione delle origini malevole, l'esfiltrazione dei dati in tempo reale tramite bot Telegram e un sistema automatizzato di cookie replay. Quest'ultima tecnica è particolarmente insidiosa poiché permette agli attaccanti di bypassare l'autenticazione a più fattori (MFA) e mantenere un accesso persistente ai sistemi compromessi.
I ricercatori di CloudSEK hanno documentato l'esfiltrazione di 5137 record di credenziali, suddivisi in 4148 cookie di sessione, 1032 password in chiaro e 474 autenticazioni MFA bypassate con successo. Le nazioni più colpite da questa campagna sono state India, Francia, Arabia Saudita, Nuova Zelanda e Germania. La piattaforma sembra operare con un modello di affiliazione, con almeno cinque affiliati che ricevono le credenziali rubate attraverso bot Telegram dedicati.
Uno degli aspetti più preoccupanti di BigBear 2.0 è il suo focus sui fornitori di servizi IT e sui Managed Service Providers (MSP). Questi attori sono bersagli di alto valore poiché gestiscono l'infrastruttura di numerosi clienti. Un singolo MSP compromesso può quindi innescare attacchi a catena di approvvigionamento (supply chain attacks) contro decine di organizzazioni a valle. Inoltre, il personale IT spesso dispone di accessi privilegiati a strumenti critici come Azure AD, Active Directory on-premise, strumenti di gestione remota (RMM) e gestori di password, rendendoli un obiettivo ancora più allettante.
Il possesso dei cookie di sessione rubati apre le porte a un accesso potenzialmente illimitato a servizi come email, Microsoft Teams, SharePoint, OneDrive, Entra ID e altre applicazioni SaaS connesse. Questo tipo di accesso può essere sfruttato per condurre frodi tramite email aziendali (Business Email Compromise - BEC), truffe finanziarie, ulteriori campagne di phishing, furto di dati sensibili e la compromissione di altri sistemi aziendali.
Per mitigare i rischi associati a minacce come BigBear 2.0, CloudSEK ha fornito una serie di raccomandazioni per le organizzazioni potenzialmente interessate:
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
