BigBear 2.0 robó más de 5.000 credenciales de Microsoft 365 y eludió MFA en 258 organizaciones

Una plataforma de phishing como servicio denominada BigBear 2.0 ha conseguido comprometer cuentas de Microsoft 365 incluso cuando las víctimas utilizaban autenticación multifactor. CloudSEK identificó 258 organizaciones con al menos un compromiso completo mediante esta técnica y más de 5.000 registros de credenciales recopilados por la infraestructura.

CloudSEK accedió al panel de administración de BigBear

La investigación comenzó después de que los analistas de CloudSEK obtuvieran acceso administrativo al panel utilizado por BigBear 2.0. Esto les permitió observar directamente la infraestructura, las estadísticas de las campañas y la información exfiltrada por los operadores.

El servicio administraba 42 servidores VPS configurados para atacar cuentas de Microsoft 365. También funcionaba como una plataforma multiusuario de phishing como servicio, por lo que distintos ciberdelincuentes podían utilizar la misma infraestructura para desplegar sus propias campañas.

CloudSEK identificó al menos cinco operadores afiliados mediante los bots de Telegram empleados para recibir en tiempo real la información robada.

258 organizaciones registraron un compromiso completo con MFA

El conjunto de datos observado contenía 461 organizaciones relacionadas con las campañas. Sin embargo, esa cifra no debe confundirse con el número de víctimas confirmadas.

CloudSEK determinó que 258 organizaciones distintas tenían al menos una autenticación completada y comprometida mediante el mecanismo de evasión de MFA. Es una distinción importante: aparecer entre los objetivos de una campaña no demuestra por sí mismo que una cuenta haya sido secuestrada.

La telemetría también incluía 3.331 direcciones IP únicas de víctimas distribuidas entre más de 40 países.

BigBear no rompe MFA: secuestra una sesión ya autenticada

BigBear 2.0 utiliza una técnica conocida como adversary-in-the-middle, o AiTM. Su infraestructura se basa en Evilginx2 y coloca un proxy controlado por el atacante entre la víctima y el sistema de autenticación legítimo de Microsoft.

La víctima interactúa con una página que reproduce el proceso de inicio de sesión mientras el proxy comunica las solicitudes con la infraestructura real de Microsoft. De este modo, el atacante puede capturar credenciales y, sobre todo, las cookies correspondientes a una sesión que ya ha completado correctamente el proceso de autenticación.

Por tanto, describir la técnica como un «bypass» de MFA no significa que BigBear haya roto criptográficamente el segundo factor. La víctima completa la autenticación y el atacante intenta apoderarse posteriormente de la sesión autenticada.

La plataforma recopiló 5.137 registros de credenciales

El panel analizado por CloudSEK contenía 5.137 registros de credenciales. Los investigadores detallaron además 474 autenticaciones completas en las que se superó el proceso de MFA, 1.032 contraseñas en texto claro y 4.148 cookies de sesión.

Estas categorías no deben sumarse para calcular un número adicional de víctimas, ya que pueden corresponder a diferentes elementos obtenidos durante una misma sesión o compromiso.

Las cookies de sesión son especialmente relevantes porque pueden permitir al atacante reutilizar una autenticación válida sin tener que solicitar inmediatamente otra contraseña o segundo factor.

Los atacantes intentaban apartar a las víctimas de FIDO2 y WebAuthn

CloudSEK también detectó código JavaScript diseñado para interferir con funciones del navegador relacionadas con FIDO2 y WebAuthn. El objetivo era impedir o dificultar que la víctima empleara estos mecanismos y dirigirla hacia opciones de autenticación más fáciles de interceptar mediante phishing.

FIDO2 y WebAuthn están diseñados precisamente para resistir ataques de phishing al vincular la autenticación al origen legítimo del servicio. Microsoft recomienda métodos de MFA resistentes al phishing, incluidos passkeys, claves FIDO2 y otras credenciales vinculadas criptográficamente al dispositivo o servicio correspondiente.

Proxies residenciales de 69 países ayudaban a ocultar los accesos

Otra función de BigBear consistía en utilizar proxies residenciales adaptados geográficamente a las víctimas. La infraestructura ofrecía direcciones de 69 países para intentar que la conexión utilizada por el atacante pareciera proceder de una ubicación similar a la del usuario legítimo.

Esta técnica busca reducir la eficacia de sistemas que consideran la geolocalización o la reputación de una dirección IP para detectar inicios de sesión anómalos.

Por este motivo, depender exclusivamente de reglas basadas en país o ubicación no constituye una defensa suficiente frente al secuestro moderno de sesiones.

Una cuenta de Microsoft 365 comprometida puede abrir más servicios

Microsoft 365 integra servicios como Exchange Online, Teams, SharePoint y OneDrive con la identidad administrada mediante Microsoft Entra ID. Una sesión comprometida puede, dependiendo de los permisos de la cuenta y de la configuración de la organización, dar acceso a correo, documentos y otros recursos empresariales.

El riesgo puede aumentar cuando la misma identidad se utiliza mediante inicio de sesión único para aplicaciones adicionales. Las cuentas administrativas o con privilegios elevados tienen un impacto potencial todavía mayor.

Qué deberían hacer las organizaciones potencialmente afectadas

CloudSEK comunicó sus hallazgos a las autoridades y notificó a varias organizaciones afectadas, incluyendo credenciales dentro de procesos de divulgación responsable.

Las organizaciones que encuentren indicios relacionados con BigBear deberían tratar el incidente como un posible robo de sesión, no limitarse únicamente a cambiar la contraseña.

• Restablecer las contraseñas que puedan haber quedado expuestas.
• Revocar las sesiones activas y los tokens existentes.
• Forzar una nueva autenticación en cuentas sensibles y privilegiadas.
• Revisar los registros de inicio de sesión de Microsoft Entra ID.
• Buscar accesos, reglas de correo o actividad anómala posteriores al posible compromiso.
• Priorizar métodos de autenticación resistentes al phishing como FIDO2 o WebAuthn.
• Aplicar políticas de Conditional Access que puedan exigir dispositivos administrados o señales adicionales de confianza.

El MFA tradicional ya no es una barrera suficiente frente al AiTM

Microsoft advierte de que métodos tradicionales como códigos SMS, contraseñas de un solo uso y determinadas notificaciones de aprobación pueden ser interceptados o manipulados mediante campañas modernas de phishing. La compañía está impulsando el uso de autenticación resistente al phishing precisamente para reducir este tipo de secuestro.

BigBear 2.0 muestra además cómo estas técnicas se han convertido en servicios comerciales que pueden utilizar operadores con distintos niveles de conocimiento técnico. El modelo de phishing como servicio proporciona infraestructura, paneles de control y mecanismos de exfiltración preparados para lanzar campañas a escala.

La infraestructura de phishing estaba fuera de servicio, pero el panel seguía activo

Cuando se publicó la investigación, la infraestructura empleada para alojar las campañas de phishing llevaba cerca de tres semanas fuera de servicio. Sin embargo, el panel administrativo de BigBear continuaba accesible.

Esto no permite concluir que la operación haya desaparecido definitivamente. La infraestructura de una plataforma de phishing puede sustituirse o trasladarse, por lo que las organizaciones afectadas deben centrarse en revocar las sesiones comprometidas y analizar la actividad de sus identidades en lugar de depender únicamente del estado de los dominios utilizados durante la campaña.