Serviço de phishing BigBear 2.0 burla MFA e já comprometeu 258 organizações no Microsoft 365
Pesquisadores da CloudSEK acessaram o painel de controle do BigBear 2.0, um phishing-as-a-service construído sobre o Evilginx2 que rouba credenciais, códigos de MFA e cookies de sessão do Microsoft 365 em tempo real. O serviço já exfiltrou mais de 5 mil credenciais e derrubou a autenticação multifator completa de 258 organizações em mais de 40 países.
O BigBear 2.0 é um kit de phishing vendido como serviço (PhaaS) que a CloudSEK conseguiu analisar por dentro após obter acesso ao painel administrativo da operação. A infraestrutura contava com 42 servidores dedicados exclusivamente a atacar contas Microsoft 365, e os números levantados são expressivos: 258 organizações com pelo menos uma conta de MFA totalmente comprometida, 5.137 registros de credenciais roubados, 474 autenticações multifator contornadas, 1.032 senhas em texto puro e 4.148 cookies de sessão capturados, com vítimas espalhadas por mais de 40 países.
Tecnicamente, o serviço se apoia no framework Evilginx2 para montar um proxy adversário-no-meio (AiTM) entre a vítima e a página real de login da Microsoft. Uma configuração chamada "offy" captura login, senha e código de MFA no momento em que passam pelo proxy, e reproduz esses dados via API para assumir a sessão já autenticada da vítima — sem precisar quebrar senha nem token. Um JavaScript customizado ainda desativa a autenticação FIDO2/WebAuthn quando detectada, forçando a vítima a cair para um método de MFA mais fraco (como código por app ou SMS), que é o que o kit consegue interceptar. Para não disparar alertas de localização, o BigBear roteia o tráfego por proxies residenciais escolhidos para corresponder ao país da vítima, cobrindo 69 países.
Como o golpe rouba a sessão já autenticada (cookie), o sinal de comprometimento não é necessariamente uma senha errada, mas sim atividade autenticada vinda de um IP ou dispositivo nunca visto antes, aprovações de MFA fora de hora, ou um pedido de reautenticação em um domínio que não é exatamente o da Microsoft.
A defesa mais robusta contra esse tipo de kit é abandonar métodos de MFA que possam ser repassados por um proxy (SMS, app OTP) em favor de FIDO2/WebAuthn, que amarra a autenticação ao domínio de origem e não funciona atrás de um AiTM. Políticas de acesso condicional que exijam dispositivo gerenciado — em vez de confiar apenas em sinais de geolocalização — e a revogação imediata de sessões e tokens diante de qualquer suspeita completam a resposta.