El servicio de phishing «BigBear Microsoft 365» eludió la autenticación de dos factores (MFA) en 258 organizaciones

Un con­jun­to de he­rra­mien­tas de phishing como ser­vi­cio, de­no­mi­na­do Big­Bear 2.0, logró sor­tear la au­ten­ti­ca­ción mul­ti­fac­tor y apro­piar­se de cre­den­cia­les de Mi­cro­soft 365 per­te­ne­cien­tes a nu­me­ro­sas or­ga­ni­za­cio­nes. Es­pe­cia­lis­tas en se­gu­ri­dad di­gi­tal lo­gra­ron in­gre­sar al panel de con­trol de esta pla­ta­for­ma y des­cu­brie­ron que ope­ra­ba di­ver­sos nodos de ser­vi­do­res vir­tua­les en­fo­ca­dos en este ser­vi­cio de nube.

La cam­pa­ña ma­li­cio­sa em­plea una es­truc­tu­ra ba­sa­da en mar­cos de in­ter­me­dia­ción para in­ter­cep­tar tanto las cla­ves de ac­ce­so como las coo­kies de se­sión vá­li­das, lo que po­si­bi­li­ta el se­cues­tro de las cuen­tas in­clu­so des­pués de que los usua­rios com­ple­tan la ve­ri­fi­ca­ción adi­cio­nal. Para evi­tar que las aler­tas de se­gu­ri­dad sal­ten en los ser­vi­do­res le­gí­ti­mos, el sis­te­ma uti­li­za ser­vi­do­res proxy re­si­den­cia­les que coin­ci­den con la ubi­ca­ción geo­grá­fi­ca de las víc­ti­mas.

Ade­más, la pla­ta­for­ma uti­li­za có­di­gos per­so­na­li­za­dos para in­ter­fe­rir con mé­to­dos de au­ten­ti­ca­ción más ro­bus­tos, obli­gan­do a los usua­rios a em­plear al­ter­na­ti­vas menos se­gu­ras. Las en­ti­da­des afec­ta­das y las au­to­ri­da­des com­pe­ten­tes fue­ron no­ti­fi­ca­das sobre los ha­llaz­gos, mien­tras que como me­di­das de mi­ti­ga­ción se re­co­mien­da re­ini­ciar las cre­den­cia­les ex­pues­tas, re­vo­car las se­sio­nes ac­ti­vas y apli­car po­lí­ti­cas de ac­ce­so con­di­cio­nal junto con mé­to­dos re­sis­ten­tes a la su­plan­ta­ción de iden­ti­dad.