A campanha utiliza uma plataforma conhecida como BigBear 2.0, oferecida no modelo Phishing-as-a-Service (PhaaS), que permite a criminosos executar ataques capazes de interceptar credenciais e sessões autenticadas sem precisar desenvolver toda a infraestrutura por conta própria.
A informação apresentada na imagem é verdadeira, mas merece uma correção importante: não foram necessariamente “5 mil credenciais” roubadas apenas das 258 organizações.
A investigação identificou 5.137 registros de credenciais em um conjunto envolvendo 461 organizações, enquanto 258 tiveram pelo menos um comprometimento no qual o MFA foi efetivamente contornado.
Os dados foram revelados por pesquisadores da CloudSEK após conseguirem acesso administrativo ao painel utilizado pelos operadores do BigBear 2.0.
BigBear 2.0 mira diretamente o Microsoft 365
A infraestrutura analisada possuía 42 servidores VPS, todos configurados para campanhas direcionadas ao ecossistema Microsoft 365.
Isso torna o ataque particularmente preocupante.
Uma conta Microsoft 365 comprometida pode fornecer acesso a serviços como Outlook, Exchange Online, OneDrive, SharePoint e Teams.
Dependendo das permissões da vítima, o invasor também pode alcançar aplicações corporativas integradas ao Microsoft Entra ID por meio de autenticação única.
O roubo de uma única identidade pode, portanto, abrir caminho para um comprometimento muito maior.
Ataque não “quebra” matematicamente o MFA
A expressão “bypass de MFA” pode levar à interpretação de que os criminosos descobriram uma vulnerabilidade capaz de quebrar diretamente a autenticação multifator da Microsoft.
Não é exatamente isso.
O BigBear utiliza uma técnica conhecida como Adversary-in-the-Middle (AiTM).
Nesse tipo de ataque, o criminoso coloca uma infraestrutura intermediária entre a vítima e o verdadeiro serviço de autenticação.
O usuário acredita que está realizando um login normal.
Insere sua senha.
Completa o MFA.
E o sistema legítimo autentica aquela sessão.
O problema acontece imediatamente depois.
Criminosos roubam a sessão já autenticada
Após a autenticação, o Microsoft 365 entrega ao navegador tokens e cookies que permitem manter aquela sessão ativa.
É justamente esse material que o BigBear tenta capturar.
Em vez de precisar descobrir o segundo fator, o criminoso rouba uma sessão que já passou pelo MFA.
O token pode então ser reutilizado para tentar assumir a identidade da vítima.
Essa diferença é fundamental.
O MFA continua funcionando.
O atacante simplesmente tenta contornar a necessidade de realizar uma nova autenticação.
Mais de 4 mil cookies de sessão foram capturados
Os números encontrados no painel da operação ajudam a dimensionar o problema.
Os pesquisadores identificaram 5.137 registros de credenciais.
Dentro desse conjunto estavam:
474 autenticações completas nas quais o MFA foi contornado;
1.032 senhas em texto claro;
e 4.148 cookies de sessão.
Também foram identificados 3.331 endereços IP únicos de vítimas, distribuídos por mais de 40 países.
As categorias podem se sobrepor, portanto não devem ser simplesmente somadas para calcular um total de pessoas afetadas.
461 organizações apareceram nos registros
O conjunto mais amplo analisado pela CloudSEK continha dados associados a 461 organizações.
Mas o número de 258 possui um significado mais específico.
Essas foram as organizações nas quais os pesquisadores identificaram pelo menos uma autenticação completa com MFA contornado.
Por isso, a forma mais precisa de apresentar o incidente é dizer que BigBear 2.0 conseguiu comprometer sessões protegidas por MFA em 258 organizações, dentro de uma campanha com alcance ainda maior.
Vítimas aparecem em mais de 40 países
A operação possui alcance internacional.
Registros foram encontrados em mais de 40 países, demonstrando que não se trata de uma campanha limitada a uma única região.
Índia apareceu entre os países com maior volume de registros, seguida por mercados europeus e do Oriente Médio.
França, Arábia Saudita, Nova Zelândia e Alemanha também aparecem entre os locais atingidos.
A distribuição internacional é facilitada pelo próprio modelo de negócio da plataforma.
Phishing virou serviço pronto para criminosos
O BigBear 2.0 representa uma tendência preocupante no cibercrime: a transformação de ataques sofisticados em produtos comerciais clandestinos.
No modelo Phishing-as-a-Service, operadores desenvolvem a infraestrutura e alugam o acesso para outros criminosos.
O cliente não precisa dominar programação avançada, configurar proxies ou construir um painel de administração.
Recebe uma plataforma praticamente pronta.
Isso reduz drasticamente a barreira técnica necessária para executar ataques avançados.
Pelo menos cinco operadores utilizavam a infraestrutura
A investigação identificou indícios de pelo menos cinco afiliados ou clientes criminosos utilizando o serviço.
Cada operador podia conduzir suas próprias campanhas.
As credenciais roubadas eram distribuídas praticamente em tempo real, inclusive por meio de bots no Telegram.
Esse modelo lembra outras estruturas já observadas no ransomware.
Uma equipe desenvolve a tecnologia.
Outros grupos executam os ataques.
E o ecossistema criminoso cresce sem que cada participante precise possuir todas as competências técnicas.
Evilginx2 está no centro da operação
O BigBear 2.0 utiliza uma estrutura baseada no Evilginx2, ferramenta conhecida por permitir ataques de phishing AiTM.
Originalmente, tecnologias desse tipo também podem ser utilizadas por profissionais de segurança em avaliações autorizadas.
Nas mãos de criminosos, entretanto, permitem criar páginas intermediárias capazes de reproduzir o processo legítimo de autenticação.
A vítima interage praticamente com o verdadeiro serviço, mas através da infraestrutura controlada pelo atacante.
Isso torna a fraude muito mais difícil de perceber visualmente.
Página pode parecer perfeitamente legítima
Em ataques tradicionais, criminosos criavam cópias da tela de login.
Erros de design, fontes diferentes ou funcionalidades ausentes podiam denunciar a fraude.
Com um proxy AiTM, a situação muda.
Grande parte do conteúdo pode ser retransmitida diretamente do serviço legítimo.
A vítima digita suas credenciais.
A infraestrutura criminosa encaminha essas informações à Microsoft.
A Microsoft responde.
O atacante retransmite a resposta.
Para o usuário, o fluxo pode parecer completamente normal.
MFA por aplicativo ainda pode ser vulnerável ao cenário
Isso explica por que simplesmente utilizar um código temporário ou aprovar uma solicitação de autenticação não elimina o risco.
Se o usuário estiver autenticando através de uma infraestrutura AiTM, o criminoso pode aproveitar o processo para obter a sessão resultante.
SMS, códigos TOTP e determinados fluxos baseados em notificações continuam oferecendo proteção importante contra muitos ataques.
Mas não são necessariamente resistentes a phishing em tempo real.
É por isso que organizações estão migrando para métodos chamados de phishing-resistant MFA.
Passkeys e FIDO2 mudam a equação
Tecnologias baseadas em FIDO2 e WebAuthn são particularmente importantes nesse cenário.
Elas utilizam criptografia vinculada ao domínio legítimo onde a autenticação está acontecendo.
Isso torna muito mais difícil utilizar uma credencial capturada em um domínio falso ou intermediário.
Chaves físicas de segurança e determinadas implementações de passkeys fazem parte dessa categoria.
Para contas administrativas e usuários de alto risco, esse tipo de autenticação está se tornando uma das defesas mais importantes contra ataques AiTM.
BigBear tentou dificultar métodos mais resistentes
A operação também apresentava mecanismos destinados a manipular o processo de autenticação.
Os pesquisadores identificaram técnicas destinadas a interferir em determinados fluxos baseados em FIDO2/WebAuthn, tentando direcionar a vítima para métodos alternativos mais fáceis de interceptar.
Isso demonstra uma característica importante dos kits modernos.
Eles não apenas copiam uma página de login.
Tentam adaptar o fluxo conforme as defesas encontradas.
Proxies residenciais escondiam localização do atacante
Outra técnica utilizada pelo BigBear 2.0 envolvia proxies residenciais distribuídos por dezenas de países.
Os pesquisadores encontraram uma estrutura capaz de utilizar endereços IP geograficamente próximos aos das vítimas.
Isso ajuda os criminosos a evitar algumas detecções baseadas em localização.
Imagine uma pessoa entrando normalmente no Microsoft 365 a partir do Brasil.
Minutos depois, sua sessão aparece sendo utilizada por um servidor em outro continente.
Esse comportamento pode gerar alerta.
Se o atacante utiliza um IP residencial brasileiro, a atividade pode parecer menos anormal.
69 países estavam disponíveis na rede de proxies
A infraestrutura analisada possuía capacidade de correspondência geográfica utilizando proxies residenciais distribuídos por 69 países.
Esse recurso permitia aproximar artificialmente a origem aparente do acesso criminoso da localização real da vítima.
Também ajudava a evitar bloqueios de endereços conhecidos como pertencentes a data centers ou VPNs.
Isso demonstra como ataques de identidade estão ficando mais sofisticados.
Não basta mais analisar apenas usuário e senha.
Contexto da sessão também precisa ser considerado.
Roubo de cookie pode abrir caixa de e-mail
Depois de assumir uma sessão Microsoft 365, o criminoso pode encontrar informações extremamente valiosas.
E-mails corporativos são um dos principais alvos.
Eles contêm contratos, faturas, conversas internas, documentos, contatos e informações sobre processos financeiros.
Também podem ser utilizados para executar Business Email Compromise (BEC).
Nesse golpe, o invasor passa a utilizar uma conta legítima para enganar colegas, fornecedores ou clientes.
Ataque pode virar fraude financeira
Imagine que criminosos comprometam a conta de alguém do setor financeiro.
Eles podem acompanhar conversas durante dias.
Descobrir quando determinada fatura será paga.
Identificar fornecedores.
Entender a linguagem utilizada pelos executivos.
Depois, no momento adequado, podem tentar alterar dados bancários ou enviar uma solicitação falsa de pagamento.
Como a mensagem parte de uma conta verdadeira, detectar a fraude torna-se muito mais difícil.
OneDrive e SharePoint ampliam impacto
O risco não termina no e-mail.
Uma identidade Microsoft 365 pode possuir acesso ao OneDrive e SharePoint, dependendo das permissões configuradas.
Isso significa que um atacante pode encontrar documentos corporativos armazenados na nuvem.
Em ambientes com integração de identidade, a mesma conta pode ainda permitir acesso a outras aplicações empresariais.
Por isso, ataques modernos estão cada vez mais focados em identidades e sessões, e não apenas em computadores.
MFA continua essencial
Apesar do incidente, seria incorreto concluir que a autenticação multifator “não funciona”.
Ela continua sendo uma das medidas mais eficazes para reduzir comprometimentos causados por senhas roubadas.
O problema é outro:
nem todos os métodos de MFA oferecem o mesmo nível de resistência contra phishing.
Ataques como BigBear 2.0 mostram que organizações precisam evoluir de “temos MFA” para uma pergunta mais específica:
qual MFA estamos utilizando e ele resiste ao roubo de sessão?
Empresas precisam observar tokens e sessões
A defesa também precisa continuar depois do login.
Políticas de acesso condicional podem limitar quando e onde determinadas sessões são aceitas.
Dispositivos corporativos gerenciados podem ser exigidos para sistemas sensíveis.
Tokens suspeitos podem ser revogados.
Sistemas de proteção de identidade podem identificar logins anormais.
Contas administrativas podem receber políticas muito mais rigorosas.
Em ambientes críticos, sessões também precisam ser tratadas como credenciais.
Senha deixa de ser o único segredo valioso
Durante décadas, o principal objetivo do phishing era roubar uma senha.
A evolução da autenticação mudou o alvo.
Agora, criminosos procuram:
senhas;
tokens;
cookies;
códigos MFA;
refresh tokens;
sessões autenticadas.
Em determinadas situações, um cookie válido pode ser mais útil para um atacante do que a própria senha.
Ele representa uma identidade que já foi autenticada.
BigBear mostra industrialização do roubo de identidade
O aspecto mais preocupante do caso talvez não seja a técnica utilizada.
Ataques AiTM não são novos.
O que muda é sua industrialização.
Uma infraestrutura com dezenas de servidores, painel centralizado, múltiplos operadores, proxies residenciais e distribuição automática de credenciais transforma uma técnica avançada em um serviço escalável.
Isso significa que ataques anteriormente associados a grupos tecnicamente sofisticados podem chegar às mãos de criminosos muito menos especializados.
258 organizações são um alerta
Os números descobertos pela CloudSEK oferecem uma fotografia rara da infraestrutura de uma operação de phishing.
5.137 registros de credenciais.
4.148 cookies de sessão.
1.032 senhas em texto claro.
474 autenticações completas com MFA contornado.
3.331 IPs únicos de vítimas.
Mais de 40 países.
E 258 organizações com pelo menos uma autenticação protegida por MFA efetivamente comprometida.
O caso demonstra que a batalha pela identidade corporativa está mudando.
Ativar MFA continua sendo fundamental.
Mas, diante de plataformas como BigBear 2.0, isso já não pode representar o fim da estratégia de segurança.
A próxima etapa é proteger não apenas o processo de login, mas também a sessão criada depois dele.
