A nova estrutura maliciosa de phishing batizada como BigBear 2.0 está a atingir ativamente contas empresariais, tendo contornado a autenticação multifator (MFA) em 258 organizações e roubado mais de 5.000 credenciais do Microsoft 365. Segundo a CloudSEK, a operação funciona como um serviço alugado e sequestra sessões autenticadas das vítimas.
Mecanismo de interceção de dados
A campanha baseia-se no Evilginx2, operando num modelo focado em atuar como intermediário da ligação. Através de uma configuração designada "offy", os atacantes colocam um servidor entre o utilizador e o portal legítimo. Isto permite intercetar palavras-passe e cookies de sessão imediatamente após o momento em que a vítima conclui o processo de verificação do MFA.
Na posse destes cookies, o sistema utiliza uma API para os reproduzir, permitindo que os criminosos acedam à caixa de correio eletrónico, Teams, SharePoint e a todas as outras aplicações ligadas. Para garantir o sucesso da intrusão, a estrutura recorre a código JavaScript personalizado que bloqueia ativamente o funcionamento do padrão seguro FIDO2/WebAuthn no navegador, forçando os alvos a utilizarem alternativas mais vulneráveis.
Impacto e rede de distribuição
Os investigadores conseguiram aceder ao painel de controlo da administração, descobrindo que o BigBear gere 42 nós de servidores virtuais (VPS). As estatísticas extraídas revelam um impacto massivo com 5.137 registos de credenciais capturados. Destes, contabilizam-se 1.032 palavras-passe em texto simples, 4.148 cookies de sessão e 474 autenticações em que a verificação multifator foi completamente superada.
No total, 461 entidades estiveram na mira da campanha, das quais 258 sofreram pelo menos um comprometimento total. A atividade abrangeu 3.331 endereços IP de vítimas, distribuídas por mais de 40 países. Para não alertar os sistemas de segurança, o painel integra proxies residenciais adaptados geograficamente a 69 países. Desta forma, o início de sessão parece ser originário da localização exata da vítima.
Este painel é alugado a pelo menos cinco operadores afiliados distintos. Todos eles recebem os dados roubados em tempo real através de bots associados ao Telegram.
Atualmente, a infraestrutura responsável pela recolha das credenciais está inativa há quase três semanas, mas o painel central de administração continua online. As equipas de segurança recomendam às organizações que redefinam palavras-passe, revoguem sessões ativas e exijam uma nova autenticação nas contas com privilégios elevados. Para prevenir novos casos, as empresas devem transitar para modelos resistentes como o FIDO2 e aplicar políticas de acesso condicional baseadas em dispositivos verificados.
Nenhum comentário
Seja o primeiro!