Thought Leadership
Ein als Phishing-as-a-Service betriebenes Framework namens BigBear 2.0 hat die Mehr-Faktor-Authentifizierung bei 258 Organisationen umgangen und dabei mehr als 5.000 Microsoft-365-Zugangsdaten entwendet.
Forscher des Cybersicherheitsunternehmens CloudSEK verschafften sich Administratorzugriff auf das zugehörige Kontrollpanel und fanden dabei 42 verwaltete VPS-Server, die allesamt auf Microsoft-365-Konten ausgerichtet waren.
Die Kampagne nutzt laut den Forschern ein auf Evilginx2 basierendes Adversary-in-the-Middle-Framework, um Passwörter sowie bereits authentifizierte Sitzungs-Cookies abzufangen, wodurch Angreifer Konten selbst nach erfolgreich abgeschlossener Mehr-Faktor-Authentifizierung übernehmen können. Dafür schaltet BigBear über eine Konfiguration namens „Offy“ einen Proxy-Server zwischen Opfer und der eigentlichen, legitimen Microsoft-Authentifizierungsinfrastruktur, wodurch sich sowohl Zugangsdaten samt Mehr-Faktor-Bestätigung als auch Sitzungs-Cookies abfangen und über eine API erneut abspielen lassen, um die authentifizierte Sitzung des Opfers zu kapern. 0CloudSEK erklärte in einem mit BleepingComputer geteilten Bericht:
„Das Panel hat 5.137 Zugangsdatensätze exfiltriert, darunter 474 vollständige Mehr-Faktor-Umgehungen.“
CloudSEK
Hinzu kämen 1.032 im Klartext gespeicherte Passwörter sowie 4.148 Sitzungs-Cookies, betroffen seien 3.331 eindeutige Opfer-IP-Adressen in mehr als 40 Ländern, wobei die Operation zum Zeitpunkt der Untersuchung weiterhin aktiv gewesen sei. Das mandantenfähige Phishing-Panel werde dabei an mindestens fünf Partnerbetreiber vermietet, identifiziert über live mitlaufende Telegram-Bots, über die jeder Betreiber gestohlene Zugangsdaten in Echtzeit erhalte. Von insgesamt 461 im breiteren Zieldatensatz erfassten Organisationen wiesen laut CloudSEK 258 mindestens eine tatsächlich abgeschlossene Kompromittierung mit umgangener Mehr-Faktor-Authentifizierung auf.
Gezielte Schwächung moderner Authentifizierungsverfahren
CloudSEK fand zudem heraus, dass BigBear speziell angepassten JavaScript-Code einsetzt, der gezielt die FIDO2- beziehungsweise WebAuthn-Authentifizierung stört, indem die entsprechende Browserfunktion deaktiviert wird, um Opfer stattdessen zu schwächeren Anmeldeverfahren zu drängen. Zur Steigerung der eigenen Erfolgsquote nutzt die Plattform zudem geografisch passende Residential-Proxys für 69 Länder, wodurch der Standort des Opfers dem einer tatsächlich dort ansässigen IP-Adresse angeglichen wird, damit Microsofts eigene Authentifizierungsserver die Aktivität nicht als verdächtig einstufen.
CloudSEK informierte nach eigenen Angaben sowohl Strafverfolgungsbehörden als auch mehrere betroffene Organisationen und übermittelte im Rahmen einer verantwortungsvollen Offenlegung auch die betroffenen Zugangsdaten. Das eigentliche Verwaltungspanel des Dienstes war zum Zeitpunkt der Untersuchung weiterhin online, während die zugrunde liegende Phishing-Infrastruktur bereits seit knapp drei Wochen offline war.
Empfohlene Schutzmaßnahmen
Organisationen, die potenziell von BigBear betroffen sind, sollten offengelegte Passwörter zurücksetzen, aktive Sitzungen widerrufen, Zugriffstoken erneuern und für Konten mit hohen Berechtigungen eine erneute Authentifizierung erzwingen. Empfohlen wird zudem der Einsatz phishing-resistenter FIDO2– beziehungsweise WebAuthn-Verfahren sowie Conditional-Access-Richtlinien, die verwaltete Geräte statt reiner Standortsignale voraussetzen.
(red)
