📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma estrutura de phishing como serviço chamada BigBear 2.0 foi usada para contornar a autenticação multifator em 258 organizações e roubar mais de 5.000 credenciais do Microsoft 365.
Pesquisadores da empresa de segurança cibernética CloudSEK obtiveram acesso de administrador ao painel de controle e descobriram que o serviço gerenciava 42 nós VPS, todos configurados para direcionar o Microsoft 365 como parte da operação observada.
De acordo com os pesquisadores, a campanha usa uma estrutura de adversário no meio baseada em Evilginx2 para interceptar senhas e cookies de sessão autenticados, permitindo que invasores sequestrem contas depois que as vítimas concluem o processo de autenticação multifator (MFA).
BigBear usa uma configuração chamada “offy” que configura um proxy man-in-the-middle (AiTM) entre a vítima e a infraestrutura de autenticação legítima da Microsoft.
Isso permite que o invasor capture credenciais, incluindo MFA, e cookies de sessão e os reproduza por meio de uma API para sequestrar a sessão de autenticação da vítima.
Cronograma da campanhaFonte: CloudSEK
O Microsoft 365 é o ecossistema de produtividade e identidade em nuvem da Microsoft, incorporando serviços como Exchange Online, Teams, SharePoint, OneDrive e autenticação Entra ID.
Comprometer uma sessão autenticada do Microsoft 365 pode expor emails e arquivos e, ao mesmo tempo, fornecer acesso a outros aplicativos conectados por meio de logon único.
De acordo com a CloudSEK, o BigBear provou ser suficientemente bem-sucedido para comprometer centenas de entidades e capturar milhares de cookies.
“O painel exfiltrou 5.137 registros de credenciais – incluindo 474 autenticações completas ignoradas por MFA, 1.032 senhas de texto simples e 4.148 cookies de sessão – afetando 3.331 IPs de vítimas únicos em mais de 40 países com a operação ainda ativa no momento da escrita”, diz CloudSEK em um relatório compartilhado com BleepingComputer.
“O painel PhaaS multiusuário é alugado a pelo menos cinco operadores afiliados identificados por meio de bots de exfiltração do Telegram ao vivo, cada um recebendo credenciais roubadas em tempo real.”
Embora 461 organizações tenham aparecido no conjunto de dados de segmentação mais amplo, CloudSEK esclareceu que 258 organizações distintas tinham pelo menos um compromisso de desvio de MFA concluído.
CloudSEK também descobriu que BigBear usa JavaScript personalizado que interfere na autenticação FIDO2/WebAuthn, desativando a funcionalidade do navegador que o acomoda para forçar os alvos a usarem métodos de autenticação mais fracos.
Para aumentar a sua eficácia, a plataforma utiliza proxies residenciais com correspondência geográfica para 69 países, combinando a localização da vítima com um endereço IP residencial para que os servidores de autenticação da Microsoft não sinalizem a atividade como suspeita.
Configurando proxy no painel BigBearFonte: CloudSEK
CloudSEK disse que notificou as autoridades policiais e várias organizações afetadas e incluiu credenciais em relatórios de divulgação responsável.
No momento em que este artigo foi escrito, o painel de administração permanecia online, enquanto a infraestrutura de phishing estava offline há quase três semanas.
As organizações que foram potencialmente afetadas pela atividade do BigBear devem redefinir senhas expostas, revogar sessões ativas, atualizar tokens e forçar a reautenticação para contas com altos privilégios.
Também é aconselhável impor FIDO2/WebAuthn resistente a phishing e usar políticas de acesso condicional que exijam dispositivos gerenciados em vez de depender de sinais de localização geográfica.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
Pesquisadores da empresa de segurança cibernética CloudSEK obtiveram acesso de administrador ao painel de controle e descobriram que o serviço gerenciava 42 nós VPS, todos configurados para direcionar o Microsoft 365 como parte da operação observada.
De acordo com os pesquisadores, a campanha usa uma estrutura de adversário no meio baseada em Evilginx2 para interceptar senhas e cookies de sessão autenticados, permitindo que invasores sequestrem contas depois que as vítimas concluem o processo de autenticação multifator (MFA).
BigBear usa uma configuração chamada “offy” que configura um proxy man-in-the-middle (AiTM) entre a vítima e a infraestrutura de autenticação legítima da Microsoft.
Isso permite que o invasor capture credenciais, incluindo MFA, e cookies de sessão e os reproduza por meio de uma API para sequestrar a sessão de autenticação da vítima.
Cronograma da campanhaFonte: CloudSEK
O Microsoft 365 é o ecossistema de produtividade e identidade em nuvem da Microsoft, incorporando serviços como Exchange Online, Teams, SharePoint, OneDrive e autenticação Entra ID.
Comprometer uma sessão autenticada do Microsoft 365 pode expor emails e arquivos e, ao mesmo tempo, fornecer acesso a outros aplicativos conectados por meio de logon único.
De acordo com a CloudSEK, o BigBear provou ser suficientemente bem-sucedido para comprometer centenas de entidades e capturar milhares de cookies.
“O painel exfiltrou 5.137 registros de credenciais – incluindo 474 autenticações completas ignoradas por MFA, 1.032 senhas de texto simples e 4.148 cookies de sessão – afetando 3.331 IPs de vítimas únicos em mais de 40 países com a operação ainda ativa no momento da escrita”, diz CloudSEK em um relatório compartilhado com BleepingComputer.
“O painel PhaaS multiusuário é alugado a pelo menos cinco operadores afiliados identificados por meio de bots de exfiltração do Telegram ao vivo, cada um recebendo credenciais roubadas em tempo real.”
Embora 461 organizações tenham aparecido no conjunto de dados de segmentação mais amplo, CloudSEK esclareceu que 258 organizações distintas tinham pelo menos um compromisso de desvio de MFA concluído.
CloudSEK também descobriu que BigBear usa JavaScript personalizado que interfere na autenticação FIDO2/WebAuthn, desativando a funcionalidade do navegador que o acomoda para forçar os alvos a usarem métodos de autenticação mais fracos.
Para aumentar a sua eficácia, a plataforma utiliza proxies residenciais com correspondência geográfica para 69 países, combinando a localização da vítima com um endereço IP residencial para que os servidores de autenticação da Microsoft não sinalizem a atividade como suspeita.
Configurando proxy no painel BigBearFonte: CloudSEK
CloudSEK disse que notificou as autoridades policiais e várias organizações afetadas e incluiu credenciais em relatórios de divulgação responsável.
No momento em que este artigo foi escrito, o painel de administração permanecia online, enquanto a infraestrutura de phishing estava offline há quase três semanas.
As organizações que foram potencialmente afetadas pela atividade do BigBear devem redefinir senhas expostas, revogar sessões ativas, atualizar tokens e forçar a reautenticação para contas com altos privilégios.
Também é aconselhável impor FIDO2/WebAuthn resistente a phishing e usar políticas de acesso condicional que exijam dispositivos gerenciados em vez de depender de sinais de localização geográfica.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
#samirnews #samir #news #boletimtec #o #serviço #de #phishing #bigbear #microsoft #365 #contornou #a #mfa #em #258 #organizações
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário