フィッシング・アズ・ア・サービス(PhaaS)型のフレームワーク「BigBear 2.0」が、258組織で多要素認証(MFA)を突破し、5,000件を超えるMicrosoft 365の認証情報を窃取していたことが分かりました。
サイバーセキュリティ企業CloudSEKの研究者らは同サービスの管理パネルへの管理者アクセス権を取得し、42台のVPSノードを運用していたことを確認しました。これらのノードはすべて、今回確認された攻撃活動においてMicrosoft 365を標的とするよう設定されていました。
研究者らによると、このキャンペーンではEvilginx2をベースとしたAiTM(Adversary-in-the-Middle)フレームワークを使用してパスワードと認証済みセッションクッキーを傍受し、被害者がMFAプロセスを完了した後にアカウントを乗っ取ることを可能にしていました。
BigBearは「offy」と呼ばれる設定を用いて、被害者とMicrosoftの正規の認証インフラの間に中間者(AiTM)プロキシを構築します。
これにより攻撃者は、MFAを含む認証情報とセッションクッキーを取得し、APIを通じてそれらをリプレイすることで被害者の認証セッションを乗っ取ることができます。
Microsoft 365は、Exchange Online、Teams、SharePoint、OneDrive、Entra ID認証といったサービスを統合した、Microsoftのクラウド生産性・ID基盤エコシステムです。
認証済みのMicrosoft 365セッションが侵害されると、メールやファイルが漏えいするだけでなく、シングルサインオンで連携された他のアプリケーションへのアクセスも許してしまう可能性があります。
CloudSEKによると、BigBearは数百の組織を侵害し、数千件のクッキーを取得するのに十分な成果を上げていたとのことです。
CloudSEKがBleepingComputerと共有したレポートでは次のように述べられています。「このパネルは、MFAを完全に突破した474件の認証情報を含む5,137件の認証情報記録――平文パスワード1,032件、セッションクッキー4,148件――を外部に送信しており、40カ国以上にまたがる3,331件のユニークな被害者IPアドレスに影響を及ぼしています。この作戦は本稿執筆時点でも継続中です」
「このマルチユーザー型のPhaaSパネルは、Telegramでのリアルタイムなデータ窃取用ボットを通じて確認された、少なくとも5つのアフィリエイト運営者に貸与されており、それぞれがリアルタイムで盗まれた認証情報を受け取っています」
広範な標的データセットには461組織が含まれていましたが、CloudSEKは、そのうちMFA突破による侵害を少なくとも1件完了させたのは258の異なる組織であったと説明しています。
CloudSEKはまた、BigBearがFIDO2/WebAuthn認証を妨害するカスタムJavaScriptを使用していることも突き止めました。このスクリプトはFIDO2/WebAuthnに対応するブラウザ機能を無効化し、標的をより弱い認証方式へと誘導します。
効果を高めるため、このプラットフォームは69カ国に対応するジオマッチング型の住宅用プロキシを使用しています。被害者の所在地に合わせた住宅用IPアドレスを利用することで、Microsoftの認証サーバーがその活動を不審なものとして検知しないようにしています。
CloudSEKは法執行機関および影響を受けた複数の組織に通報し、責任ある情報開示の一環として認証情報を含む報告を行ったとしています。
本稿執筆時点で、管理パネル自体は依然として稼働していますが、フィッシングインフラはおよそ3週間にわたって停止した状態にあります。
BigBearの活動によって影響を受けた可能性のある組織は、漏えいしたパスワードのリセット、有効なセッションの無効化、トークンの更新、そして高権限アカウントに対する再認証の強制を行うべきです。
また、フィッシング耐性を備えたFIDO2/WebAuthnを導入し、位置情報のシグナルに頼るのではなく、管理対象デバイスを要求する条件付きアクセスポリシーを利用することも推奨されます。
