2026年6月に初めて確認されたこのキャンペーンは、Microsoft 365ユーザーを標的としており、調査時点でも依然として活動を続けていたと報告されています。
研究者はこのキャンペーンの管理パネルへの管理者権限アクセスを獲得し、稼働期間中に42台の仮想プライベートサーバー(VPS)ノードを支配下に置いていたことを突き止めました。
サーバーの大半はVultrがホストしており、運営元はThe Constant Company LLCでした。このプラットフォームは、Microsoft 365の認証セッションをプロキシするために特別に設計された「offy」と呼ばれるEvilginx2フィッシングテンプレートを使用していました。
同パネルは、40カ国以上にまたがる3,331件のユニークな被害者IPアドレスから、合計5,137件の記録を収集していたとされています。国別ではインドが最も多くの割合を占め、フランス、サウジアラビア、ニュージーランド、ドイツが続きました。
BigBear 2.0は、アフィリエイトにリースされるマルチテナント型サービスとして運用されているとみられます。少なくとも5人のオペレーターが、専用のTelegramボットを通じて盗まれた認証情報やセッションデータをリアルタイムで受け取っていました。このサービスの運営者は「General Boss」というエイリアスを使用していたと報告されています。
通常の認証情報フィッシングとは異なり、BigBear 2.0はAiTM(Adversary-in-the-Middle)プロキシを使用します。被害者はフィッシングドメインに誘導され、正規のMicrosoftサインインページをプロキシ経由で表示したものを閲覧させられます。
この手法により、Outlookのメールボックス、Teamsのチャット、SharePointのファイル、OneDriveのデータ、Entra IDのリソース、さらには連携するシングルサインオン(SSO)アプリケーションまでもが露出する可能性があります。
さらに、これはビジネスメール詐欺(BEC)、社内フィッシング、クラウド環境の偵察、データ窃取、ランサムウェア攻撃への足がかりにもなります。このキャンペーンは、69カ国にまたがる地域一致型の住宅用プロキシインフラを使用していました。
これにより、フィッシングプラットフォームは被害者の所在国内のIPアドレスを経由してトラフィックをルーティングでき、位置情報に基づくセキュリティ制御や不審ログインアラートによってセッションがブロックされる可能性を低減していました。
CloudSEKはまた、フィッシングページ上でFIDO2やWebAuthnのオプションを無効化するカスタムJavaScriptの改変を確認しており、これにより被害者はSMS、ワンタイムパスワード、プッシュ承認といったより脆弱なMFA方式へと誘導されていました。
その他のコードはMicrosoftのアンチフィッシングテレメトリをブロックし、セッションの有効期間を延長するために「サインインしたままにする」設定を自動的に有効化していたと、CloudSEKは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、ご利用のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/bigbear-2-0-bypasses-mfa/
