Kit de phishing BigBear 2.0 rouba credenciais e burla MFA em centenas de organizações
O kit de phishing como serviço BigBear 2.0 foi usado em campanhas contra centenas de organizações em mais de 40 países, capturando milhares de credenciais e conseguindo contornar a autenticação multifator em cerca de 10% dos casos por meio de roubo de cookies de sessão. A técnica de adversário no meio (AiTM) permite sequestrar contas do Microsoft 365 mesmo quando o MFA está ativado.
De acordo com a análise da CloudSEK, o BigBear 2.0 opera como uma plataforma de phishing como serviço que já foi usada contra centenas de organizações em mais de quarenta países, com destaque para vítimas na Índia, França, Arábia Saudita, Nova Zelândia e Alemanha. O kit já capturou mais de 5 mil registros de credenciais, incluindo 474 autenticações completas em que o MFA foi efetivamente contornado.
A técnica usada é o clássico ataque de adversário no meio (AiTM, adversary-in-the-middle): a vítima clica em um link de phishing e é levada a um proxy reverso que reproduz fielmente a página real de login da Microsoft. As credenciais digitadas passam pelo proxy e são retransmitidas em tempo real ao servidor legítimo da Microsoft, então o próprio serviço de MFA da vítima valida o segundo fator normalmente — só que o proxy intercepta, nesse momento, o cookie de sessão emitido após a validação bem-sucedida. Com esse cookie em mãos, o atacante não precisa mais da senha nem do segundo fator: basta reproduzir o cookie no próprio navegador para herdar a sessão já autenticada e acessar e-mail, Teams e SharePoint da vítima.
Esse padrão de roubo de token de sessão é o que torna o MFA tradicional (baseado em código ou aprovação de push) insuficiente isoladamente: ele valida a autenticação no momento do login, mas não impede que a sessão resultante seja clonada e reutilizada por outra máquina. Para fraude financeira, o impacto prático é enorme, já que uma caixa de e-mail corporativa sequestrada é a matéria-prima clássica de golpes de comprometimento de e-mail corporativo (BEC): alteração de dados bancários em faturas, aprovação fraudulenta de pagamentos e engenharia social contra fornecedores e clientes usando a identidade legítima da vítima.
A defesa mais eficaz contra esse tipo de kit é adotar MFA resistente a phishing (chaves de segurança FIDO2/passkeys), que amarra a autenticação ao domínio real e não pode ser repassada por um proxy, além de políticas de acesso condicional que rejeitem reutilização de sessão a partir de dispositivos ou localizações não reconhecidas. Times de segurança devem monitorar reuso anômalo de cookies de sessão como sinal de comprometimento, e o treinamento de usuários precisa deixar claro que uma página de login visualmente idêntica à real não é garantia de segurança quando o link de acesso vem de um e-mail não solicitado.