セキュリティ研究者らは、新たなフィッシング・アズ・ア・サービス(PhaaS)の運用を発見しました。この運用ではすでに被害者から5100件を超えるMicrosoft 365認証情報レコードが窃取されたとみられています。
CloudSEKによると、Bigbear 2.0はアドバーサリー・イン・ザ・ミドル(AiTM)フレームワークのEvilginx2をベースにしているといいます。
同研究チームはBigBear 2.0の攻撃者パネルへの管理者アクセス権を獲得することに成功し、40か国以上にまたがる3331件のユニークな被害者IPアドレスを観測しました。
「このパネルは、キャンペーン期間を通じて42のVPSノードを管理しており、その大半はThe Constant Company LLC(Vultr)でホストされ、Microsoft 365のみを標的とする『offy』フィッシュレットで構成されていました」と、CloudSEKの研究者Gagan Aggarwal氏は記しています。
「『General Boss』というエイリアスを使う運用者は、地理的に一致した住宅用プロキシプールを展開し、Telegramへのリアルタイムでのデータ流出、そしてMFAを迂回してアクセスを持続させるための自動化されたCookieリプレイを行っていました」
PhaaS関連記事: MFAバイパスキット、月間100万件のメッセージを送出
CloudSEKのチームは合計で、461組織にまたがる5137件の認証情報レコードが流出していたことを突き止めました。その内訳はセッションCookieが4148件、平文パスワードが1032件、MFAバイパスによる認証完了が474件です。
最も標的とされた国は、インド、フランス、サウジアラビア、ニュージーランド、ドイツでした。
報告書では、少なくとも5つのアフィリエイトがこのサービスを利用し、専用のTelegramボットを通じて窃取した認証情報を受け取っていたことが明らかになっています。
このプラットフォーム自体、エンドユーザーの利便性を高めるための自動化機能を備えています。フィッシングページから窃取された情報はTelegramに送られ、Cookieリプレイシステムに取り込まれることで、攻撃者は迅速にセッションハイジャックを実行できるようになっています。
広範囲に及ぶ侵害の可能性
最も懸念されるのは、業種別で最も標的とされたのがITサービス・マネージドサービスプロバイダーだったという点です。
「ITサービスプロバイダーは、クライアントのインフラを管理しているため価値の高い標的となります。1つのITプロバイダーが侵害されるだけで、その先にある数十のクライアントに対するサプライチェーン攻撃が可能になるのです」とAggarwal氏は警告しています。「またIT担当者は、Azure AD、オンプレミスAD、RMMツール、パスワードマネージャーへの特権アクセスを持っていることも多くあります」
セッションCookieを手にした脅威アクターは、理論上、電子メール、Teams、SharePoint、OneDrive、Entra ID、さらに連携するSaaSアプリケーションにまでアクセスできることになります。
この種のアクセス権は、ビジネスメール詐欺(BEC)、金融詐欺、フィッシング、データ窃取、さらには他の企業システムへの侵害の足がかりとして悪用されうる、とAggarwal氏は指摘しています。
CloudSEKは、影響を受けた可能性のある組織に対し、以下の対策を推奨しています。
- 不審なセッショントークンおよびリフレッシュトークンの失効
- 再認証の強制
- 侵害されたパスワードのリセット
- FIDO2やWebAuthnなど、フィッシング耐性のある認証方式の導入
- 条件付きアクセスポリシーおよび準拠デバイス要件の強化
翻訳元: https://www.infosecurity-magazine.com/news/bigbear-2-phaas-5000-microsoft/
