BigBear đánh cắp hàng nghìn thông tin đăng nhập Microsoft 365
"CloudSEK reported that the BigBear 2.0 Evilginx2-based phishing-as-a-service operation targeting Microsoft 365 users had stolen 5,137 records from 461 organizations, including 1,032 plaintext passwords, 4,148 session cookies, and 474 authenticated sessions that could bypass MFA. The campaign was still active, and the recommended mitigations were phishing-resistant FIDO2/WebAuthn authentication, conditional access controls, compliant device requirements, and revocation of compromised session and refresh tokens."
Nguy cơ chiếm đoạt phiên đăng nhập và vượt qua MFA; có thể dẫn tới truy cập email, tài liệu và SaaS liên quan.
Có thể gây gián đoạn vận hành, rò rỉ dữ liệu và tấn công BEC; ảnh hưởng tới nhiều tổ chức dùng Microsoft 365.
CloudSEK cho biết nhóm BigBear 2.0 đang vận hành một mô hình phishing-as-a-service dựa trên Evilginx2, nhắm vào người dùng Microsoft 365 và đã thu thập 5.137 bản ghi từ 461 tổ chức. Trong số này có 1.032 mật khẩu dạng plaintext, 4.148 cookie phiên và 474 phiên đã xác thực có thể vượt qua MFA.
Theo nghiên cứu, chiến dịch này vẫn đang hoạt động tại thời điểm phân tích. Cơ chế tấn công hoạt động như một adversary-in-the-middle proxy, chuyển tiếp đăng nhập giữa nạn nhân và dịch vụ thật của Microsoft để lấy session cookie sau khi xác thực thành công. Khi có cookie hợp lệ, kẻ tấn công có thể truy cập lại phiên làm việc mà không cần xác thực lại cho đến khi token hết hạn hoặc bị thu hồi.
CloudSEK khuyến nghị triển khai FIDO2/WebAuthn chống phishing, áp dụng conditional access, yêu cầu thiết bị tuân thủ chính sách, và thu hồi session/refresh token đã bị lộ. Do tài khoản Microsoft 365 có thể liên quan đến email, Teams, SharePoint, OneDrive và các dịch vụ SaaS khác, tổ chức nên rà soát đăng nhập bất thường và kiểm tra khả năng bị lạm dụng tài khoản ngay lập tức.