BigBear-ის ფიშინგის ჯგუფი Microsoft 365-ის მონაცემებს იჭერს

მკვლევარებმა კრიმინალების ადმინისტრაციულ პანელში შეაღწიეს და 5 137 მოპარული ჩანაწერი აღმოაჩინეს 461 ორგანიზაციიდან.

Microsoft 365-ის ფიშინგის ოპერაციამ, რომელიც ასობით ორგანიზაციას ამიზნებდა, ათასობით პაროლი და სესიის ქუქი დაიჭირა. მათ შორის იყო ასობით ავთენტიფიცირებული სესია, რომელთა მოპარვაც შესაძლებელია MFA-ს გვერდის ავლით, განაცხადეს მკვლევარებმა, რომლებმაც კრიმინალების ადმინისტრაციულ პანელს მიაღწიეს.

CloudSEK-ის უსაფრთხოების მკვლევარებმა განაცხადეს, რომ მათ BigBear 2.0-ის უკან მდგომი ადმინისტრაციული პანელი მიიღეს. ეს Evilginx2-ზე დაფუძნებული ფიშინგ-როგორც-სერვისის ოპერაციაა, რომელიც Microsoft 365-ის მომხმარებლებს ამიზნებს. ამით მათ კამპანიისა და მისი მოსავლის უჩვეულოდ დეტალური ხედვა მიიღეს.

მკვლევარების თანახმად, პანელი შეიცავდა 5 137 ჩანაწერს, რომლებიც დაკავშირებული იყო 461 ორგანიზაციასთან. მათ შორის იყო 1 032 ღია ტექსტის პაროლი და 4 148 სესიის ქუქი. CloudSEK-მა 474 ჩანაწერი დაახასიათა როგორც სრული MFA-ს გვერდის ავლითი ავთენტიფიკაცია, რომლის დროსაც თავდამსხმელებმა Microsoft 365-ის ავთენტიფიცირებული სესია დაიჭირეს.

ეს პოტენციურად კრიმინალებს ბევრად მეტს აძლევს, ვიდრე უბრალო საფოსტო ყუთს. Microsoft 365-ის მოპარული ანგარიში შეიძლება გამოაშკარავოს ელფოსტა, კალენდრები, Teams-ის საუბრები და SharePoint-სა და OneDrive-ში შენახული ფაილები. ანგარიშის უფლებების მიხედვით, CloudSEK-ის თანახმად, ეს შეიძლება გახდეს გზა Entra ID-ში, ღრუბლოვან ინფრასტრუქტურაში და ფედერირებულ SaaS აპლიკაციებში შესასვლელად. ეს სასარგებლო ტერიტორიაა ბიზნეს ელფოსტის კომპრომეტაციისთვის, შიდა ფიშინგისთვის, მონაცემთა ქურდობისთვის და გვერდითი მოძრაობისთვის.

ეს არ არის პოსტმორტემი. CloudSEK-მა განაცხადა, რომ BigBear-ის ოპერაცია კვლავ აქტიური იყო მათი გამოძიების დროს. მისი ნაგულისხმევი ფიშინგის შაბლონი, სახელად „offy“, სპეციალურად იყო კონფიგურირებული Microsoft 365-ის ავთენტიფიკაციის ჩასაჭრელად.

BigBear-ს არ სჭირდება Microsoft-ის MFA-ს პირდაპირ დამარცხება. ამის ნაცვლად, მისი Evilginx2 ინფრასტრუქტურა მოქმედებს როგორც მოწინააღმდეგე შუაში პროქსი მსხვერპლსა და Microsoft-ის რეალურ შესვლის სერვისს შორის.

მსხვერპლები, რომლებიც ერთ-ერთ ფიშინგის საიტზე მოხვდებიან, ხედავენ Microsoft-ის შესვლის პროცესს, რომელიც თავდამსხმელის სერვერის მეშვეობით პროქსირდება. მათი მომხმარებლის სახელები და პაროლები გადაეცემა Microsoft-ს, მათ შორის ნებისმიერი MFA გამოწვევა. როდესაც მსხვერპლი წარმატებით ავთენტიფიცირდება, Microsoft აბრუნებს სესიის ქუქის, რომელიც თავდამსხმელის ინფრასტრუქტურის გავლით ბრუნდება.