BigBear 2.0: фишинговая платформа обходит многофакторную защиту Microsoft 365

По данным CloudSEK, платформа использует модифицированную версию инструмента Evilginx2. Он действует как посредник между пользователем и настоящим порталом Microsoft. Жертва переходит по присланной ссылке и попадает на поддельную страницу входа. Внешне она неотличима от оригинальной, поэтому все вводимые данные одновременно передаются мошенникам и самому сервису. Такой приём называют атакой "злоумышленник в середине".

Главная опасность метода в том, что он делает бесполезной многофакторную аутентификацию. Пользователь видит привычную страницу и уверенно вводит пароль и одноразовый код. В этот момент мошенник перехватывает ключ сеанса - цифровой пропуск, который сервис выдаёт после успешной проверки. С таким ключом преступник входит в почту, календарь, документы и другие приложения без повторного запроса пароля. Для этого даже не требуется вредоносное ПО на компьютере жертвы: атака работает за счёт подмены самой страницы входа.

Размер ущерба виден из статистики панели управления. Всего на ней накопилось 5137 записей с крадеными данными. В 474 случаях второй фактор был полностью обойдён. Отдельно хранилось 1032 пароля в открытом виде и 4148 ключей сеансов. Чаще всего атаки поражали пользователей в Индии, Франции, Саудовской Аравии, Новой Зеландии и Германии. Заметная часть пострадавших относилась к ИТ-компаниям и поставщикам услуг - их компрометация создаёт цепочку рисков для клиентских организаций. Причём список секторов оказался довольно широким: от производства до фармацевтики и консалтинга.

Чтобы скрыть свою активность, операторы используют домашние IP-адреса тех стран, где живут жертвы. Если атака идёт на пользователя из Германии, то подключение к серверам Microsoft совершается через немецкий адрес. Для систем безопасности такое подключение выглядит как обычный вход с домашнего компьютера. При этом внедрённый на страницу код отключает аппаратные ключи безопасности, заставляя пользователя перейти на СМС-коды или подтверждение с телефона. Эти способы, в отличие от аппаратных ключей, без труда перехватываются таким же образом. Также код подавляет служебные сигналы Microsoft, которые могли бы предупредить сервис о фишинговой странице. Кроме того, фишинговые сайты используют поддомены со стандартными цифровыми сертификатами, поэтому браузер не выводит предупреждений о небезопасном соединении.

Панель BigBear 2.0 оказалась недоступной для посторонних. Она проверяла адреса посетителей и блокировала тех, кто подключается через VPN-сервисы (виртуальные частные сети) или центры обработки данных. Доступ к интерфейсу был возможен только с обычных домашних адресов. В июне и начале июля платформа действовала на 42 серверах хостинг-провайдера, но к концу июля оператор удалил больше половины из них. Такое поведение указывает на попытку скрыть детали своей инфраструктуры после обнаружения. Кампания при этом продолжает расширяться. Ранние записи касались в основном Индии и Европы, а затем добавились жертвы на Ближнем Востоке и в других регионах.

Модель BigBear 2.0 напоминает легальный бизнес с разделением ролей. Администратор, скрывающийся под псевдонимом General Boss, владеет серверами и предоставляет доступ преступным группам. В ходе расследования идентифицировано минимум пять таких арендаторов. Каждая группа получает похищенные данные в реальном времени через отдельного Telegram-бота. Оплата за использование сервиса, по всей видимости, осуществляется из доли в украденной информации. Такая схема усложняет расследование, так как атаки совершаются сразу несколькими независимыми коллективами. Некоторые арендаторы имеют более высокий статус и могут привлекать субоператоров.

Последствия компрометации для компаний могут быть тяжёлыми. Мошенники с доступом к почте часто инициируют подмену реквизитов при оплатах, что приводит к прямым финансовым потерям. Средний ущерб от одного такого инцидента, по оценкам, превышает сто тысяч долларов. Кроме того, они могут похищать коммерческие документы, базы клиентов или исходные коды. В некоторых случаях захваченная сессия становится первым шагом для внедрения программ-вымогателей. Поставщики ИТ-услуг подвергаются дополнительному риску: один скомпрометированный аккаунт позволяет атаковать десятки организаций, пользующихся их поддержкой.

Единственным методом двухфакторной аутентификации, который не поддаётся такой атаке, остаются аппаратные ключи безопасности. Они работают по открытому стандарту FIDO2 (Fast IDentity Online). Такие ключи привязывают вход к конкретному домену, и на фишинговой странице нужная проверка не проходит. Компаниям стоит внедрять их в первую очередь для сотрудников с высокими привилегиями. Одновременно полезно следить за необычными входами и вовремя отзывать подозрительные сессии. Немаловажно настроить условный доступ, требующий дополнительной проверки при входе с непривычных адресов. Стоит также регулярно пересматривать разрешения, выданные сторонним приложениям. Простой фишинг со сбором одноразовых кодов давно перестал быть главной угрозой: теперь атакующие крадут готовый доступ.