BigBear 2.0 evade MFA y roba credenciales de Microsoft 365

Un nuevo caso de phishing como servicio (PhaaS) está poniendo en alerta a las organizaciones que utilizan Microsoft 365. Investigadores de ciberseguridad han identificado una campaña operada mediante BigBear 2.0, una plataforma maliciosa diseñada para interceptar credenciales y sesiones autenticadas, incluso cuando las víctimas utilizan autenticación multifactor (MFA).

De acuerdo con una investigación de CloudSEK, el servicio consiguió comprometer completamente a 258 organizaciones y permitió a los operadores obtener miles de datos de autenticación. El análisis de la infraestructura reveló además una operación organizada, con múltiples afiliados que reciben información robada prácticamente en tiempo real.

El descubrimiento demuestra que disponer de MFA ya no garantiza por sí solo la protección de las cuentas corporativas. Las técnicas de adversario en el medio (AiTM) permiten a los ciberdelincuentes situarse entre el usuario y el servicio legítimo de autenticación para capturar información de sesión después de que el usuario complete correctamente el proceso de MFA.

BigBear 2.0 convierte el phishing en un servicio automatizado

BigBear 2.0 forma parte de una tendencia creciente conocida como Phishing-as-a-Service (PhaaS). Este modelo permite que grupos con conocimientos técnicos limitados puedan utilizar infraestructura, herramientas y paneles previamente preparados para realizar campañas de robo de credenciales.

CloudSEK obtuvo acceso de administrador al panel de control utilizado por BigBear y encontró 42 nodos VPS configurados para dirigir las operaciones hacia Microsoft 365. La infraestructura estaba preparada para gestionar múltiples campañas y entregar los datos obtenidos a diferentes operadores.

El modelo resulta especialmente peligroso porque industrializa el phishing. En lugar de que cada atacante tenga que desarrollar su propia infraestructura, los operadores pueden alquilar o utilizar componentes ya preparados para lanzar campañas contra organizaciones y usuarios.

Según los investigadores, el panel PhaaS multiusuario estaba siendo utilizado por al menos cinco operadores afiliados identificados mediante bots de exfiltración en Telegram.

Un ataque AiTM capaz de superar la autenticación multifactor

Uno de los aspectos más preocupantes de BigBear 2.0 es su utilización de un esquema Adversary-in-the-Middle (AiTM) basado en técnicas asociadas con Evilginx2.

En un ataque convencional de phishing, el delincuente intenta conseguir el nombre de usuario y la contraseña de la víctima. Sin embargo, cuando una cuenta está protegida mediante MFA, obtener solamente la contraseña puede no ser suficiente.

Los ataques AiTM utilizan una estrategia diferente. El atacante coloca un proxy entre la víctima y el servicio legítimo de autenticación. De esta manera, cuando el usuario introduce sus credenciales y completa el desafío MFA, la infraestructura maliciosa puede interceptar determinados elementos de la sesión autenticada.

Entre los datos que pueden resultar especialmente valiosos se encuentran las cookies de sesión. Una cookie válida puede permitir que un atacante reutilice una sesión ya autenticada sin tener que repetir necesariamente todo el proceso de inicio de sesión.

BigBear utiliza una configuración denominada "offy", que establece precisamente este tipo de proxy malicioso entre la víctima y la infraestructura legítima de autenticación de Microsoft.

Más de 5.000 registros de autenticación expuestos

Los investigadores de CloudSEK encontraron cifras que muestran la escala de la campaña. El panel había exfiltrado 5.137 registros de credenciales, entre ellos:

• 474 autenticaciones completas sin filtro MFA.
• 1.032 contraseñas en texto plano.
• 4.148 cookies de sesión.
• Datos correspondientes a 3.331 direcciones IP únicas.
• Víctimas localizadas en más de 40 países.

Aunque el conjunto de datos de segmentación incluía 461 organizaciones, CloudSEK precisó que 258 organizaciones diferentes registraron al menos un compromiso completo mediante bypass de MFA.

Estos datos reflejan una operación de considerable alcance y muestran por qué los ataques de phishing modernos representan una amenaza especialmente seria para los entornos empresariales basados en la nube.

Microsoft 365 se convierte en un objetivo de alto valor

El interés de los ciberdelincuentes por Microsoft 365 no es casual. El ecosistema concentra servicios esenciales para las empresas, como correo electrónico, almacenamiento de archivos, colaboración, videoconferencias y gestión de identidades.

Una cuenta comprometida puede proporcionar acceso a Exchange Online, Microsoft Teams, SharePoint, OneDrive y otros servicios conectados mediante inicio de sesión único (SSO).

Por ello, el robo de una sesión autenticada no debe considerarse únicamente como una pérdida de credenciales. Dependiendo de los permisos de la cuenta comprometida, el atacante podría acceder a información corporativa, conversaciones, documentos, contactos y aplicaciones adicionales.

Las cuentas con privilegios administrativos representan un riesgo todavía mayor, ya que una intrusión podría utilizarse para ampliar el alcance del ataque dentro de la organización.

BigBear intenta debilitar FIDO2 y WebAuthn

Otro elemento destacado de la investigación es el uso de JavaScript personalizado para interferir con FIDO2 y WebAuthn, tecnologías utilizadas para implementar métodos de autenticación resistentes al phishing.

Según CloudSEK, BigBear intenta deshabilitar la funcionalidad del navegador asociada con estos mecanismos para dirigir a las víctimas hacia métodos de autenticación potencialmente más vulnerables.

Esta estrategia demuestra que los operadores no solamente buscan robar contraseñas. También intentan manipular el proceso de autenticación para aumentar las posibilidades de éxito de la campaña.

La utilización de FIDO2/WebAuthn continúa siendo una de las medidas más importantes para reducir el riesgo de ataques de phishing, especialmente frente a técnicas capaces de interceptar credenciales y sesiones.

Proxies residenciales para ocultar la actividad maliciosa

BigBear 2.0 también incorpora mecanismos destinados a reducir las señales que podrían alertar a los sistemas de seguridad.

CloudSEK identificó el uso de proxies residenciales compatibles geográficamente con 69 países. La plataforma compara la ubicación de la víctima con una dirección IP residencial para que las solicitudes posteriores parezcan más coherentes desde el punto de vista geográfico.

Esta técnica busca dificultar la detección basada exclusivamente en anomalías de ubicación.

Sin embargo, confiar demasiado en la geolocalización como mecanismo de seguridad puede resultar insuficiente. Un atacante puede utilizar infraestructura distribuida y direcciones IP que parezcan normales para evitar determinadas alertas.

Por este motivo, las organizaciones deberían combinar señales de identidad, dispositivo, comportamiento, riesgo de sesión y estado de seguridad del equipo.

¿Qué deben hacer las organizaciones afectadas?

CloudSEK indicó que notificó a las fuerzas del orden y a diferentes organizaciones potencialmente afectadas. Para las empresas que sospechen que sus usuarios pudieron interactuar con infraestructura asociada a BigBear 2.0, la respuesta debe centrarse especialmente en invalidar las sesiones existentes.

Entre las principales medidas se encuentran restablecer las contraseñas expuestas, revocar las sesiones activas, actualizar o invalidar tokens y forzar una nueva autenticación.

También es recomendable revisar las cuentas con privilegios elevados, analizar registros de acceso y buscar actividades anómalas posteriores a los eventos de phishing.

En particular, las organizaciones deberían comprobar accesos desde ubicaciones inusuales, dispositivos desconocidos, cambios inesperados de configuración y actividad relacionada con aplicaciones o servicios que normalmente no utiliza el usuario.

FIDO2 y Acceso Condicional como defensa frente al phishing

El caso BigBear 2.0 vuelve a demostrar que la seguridad empresarial no puede depender exclusivamente de contraseñas y códigos MFA.

Las organizaciones deberían priorizar mecanismos resistentes al phishing, especialmente aquellos basados en FIDO2 y WebAuthn, además de implementar políticas estrictas de Microsoft Entra ID y Acceso Condicional.

También resulta recomendable exigir dispositivos gestionados y en condiciones de seguridad adecuadas para acceder a recursos corporativos críticos.

Las políticas de acceso deben evaluar múltiples factores y no basarse únicamente en la dirección IP o la ubicación geográfica del usuario. Una conexión que aparentemente procede de un país o ciudad habitual no significa necesariamente que sea legítima.

BigBear 2.0 evidencia la evolución del phishing empresarial

La campaña asociada con BigBear 2.0 demuestra cómo el phishing moderno está evolucionando hacia ataques altamente automatizados y especializados. El objetivo ya no consiste únicamente en engañar al usuario para obtener una contraseña, sino en interceptar el proceso completo de autenticación y apropiarse de sesiones legítimas.

La combinación de PhaaS, AiTM, robo de cookies, proxies residenciales y técnicas contra FIDO2/WebAuthn convierte estas plataformas en una amenaza importante para las organizaciones que dependen de Microsoft 365.

El hecho de que cientos de organizaciones hayan registrado compromisos y que miles de credenciales y cookies hayan sido recopiladas demuestra que las empresas necesitan adoptar una estrategia de defensa basada en múltiples capas.

La autenticación multifactor continúa siendo una herramienta fundamental, pero debe complementarse con mecanismos resistentes al phishing, controles de acceso adaptativos, dispositivos gestionados, supervisión continua de las sesiones y una respuesta rápida ante cualquier posible robo de credenciales.

BigBear 2.0 es, en definitiva, otro ejemplo de cómo los ciberdelincuentes están profesionalizando sus operaciones. Para las empresas, el mensaje es claro: proteger una cuenta de Microsoft 365 requiere proteger no solo la contraseña, sino también la identidad, el dispositivo y la sesión autenticada.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login