Un marco de phishing-as-a-service llamado BigBear 2.0 ha conseguido saltarse la autenticación multifactor (MFA) en 258 organizaciones y robar más de 5.000 credenciales de Microsoft 365. Investigadores de la empresa de ciberseguridad CloudSEK lograron acceso de administrador al propio panel de control del servicio, según recoge BleepingComputer, y desde dentro pudieron reconstruir cómo funcionaba y a quién había afectado.
Desde el panel, los investigadores comprobaron que el servicio gestionaba 42 nodos VPS, todos ellos configurados para atacar específicamente a Microsoft 365, el ecosistema de productividad e identidad en la nube de Microsoft que integra Exchange Online, Teams, SharePoint, OneDrive y la autenticación de Entra ID. Comprometer una sesión autenticada de Microsoft 365 puede exponer correo y archivos, y potencialmente dar acceso a otras aplicaciones conectadas mediante inicio de sesión único.
Cómo consigue saltarse el segundo factor
Según los investigadores, la campaña usa un marco de tipo adversario-en-el-medio basado en Evilginx2 para interceptar contraseñas y cookies de sesión ya autenticadas, lo que permite a los atacantes secuestrar cuentas después de que la víctima haya completado el proceso de MFA. BigBear emplea una configuración llamada «offy» que levanta un proxy entre la víctima y la infraestructura legítima de autenticación de Microsoft: captura credenciales, incluido el segundo factor, y cookies de sesión, y las reproduce a través de una API para secuestrar la sesión de la víctima.
Para reducir la sospecha, la plataforma usa proxies residenciales geolocalizados para 69 países, haciendo coincidir la ubicación de la víctima con una IP residencial del mismo lugar, de modo que los servidores de autenticación de Microsoft no marquen la actividad como sospechosa. Además, BigBear incorpora JavaScript personalizado que interfiere con la autenticación FIDO2/WebAuthn, desactivando la funcionalidad del navegador que la soporta para forzar a las víctimas hacia métodos de autenticación más débiles.
Los números que dejó el propio panel
CloudSEK detalla en su informe, compartido con el medio de origen, la magnitud exacta de lo capturado: «El panel ha exfiltrado 5.137 registros de credenciales -incluyendo 474 autenticaciones completas con bypass de MFA, 1.032 contraseñas en texto plano y 4.148 cookies de sesión- afectando a 3.331 direcciones IP de víctimas únicas en más de 40 países, con la operación todavía activa en el momento de escribir esto». Los investigadores añaden que «el panel multiusuario de PhaaS está alquilado a al menos cinco operadores afiliados identificados a través de bots de exfiltración de Telegram en directo, cada uno recibiendo las credenciales robadas en tiempo real».
Aunque en el conjunto de datos de objetivos más amplio aparecían 461 organizaciones, CloudSEK aclaró que 258 organizaciones distintas tuvieron al menos un compromiso completado con bypass de MFA, que es la cifra que define el alcance real del ataque conseguido, y no solo el de intento.
El panel de administración sigue en línea
CloudSEK afirma haber notificado a las fuerzas del orden y a varias de las organizaciones afectadas, e incluyó las credenciales comprometidas en sus informes de divulgación responsable. Según el propio informe, el panel de administración de BigBear seguía en línea en el momento de escribirlo, mientras que la infraestructura de phishing llevaba casi tres semanas fuera de servicio.
Qué debe hacer una organización que haya podido estar expuesta
BleepingComputer recoge una serie de pasos concretos para quien crea haber estado en el radar de esta campaña, y son los que marcan la diferencia entre quedarse expuesto o no: restablecer las contraseñas comprometidas, revocar las sesiones activas, refrescar los tokens y forzar una nueva autenticación en las cuentas con privilegios elevados. A esto se suma una recomendación de fondo, no solo para reaccionar sino para no volver a caer en el mismo esquema: reforzar la autenticación FIDO2/WebAuthn resistente al phishing y usar políticas de acceso condicional que exijan dispositivos gestionados en lugar de fiarse de señales de geolocalización, precisamente el mecanismo que BigBear explota para pasar desapercibido. Para un usuario particular con cuenta de Microsoft 365, la lección práctica es la misma que para una empresa: un segundo factor por SMS o app de códigos ya no basta si el atacante puede robar la cookie de sesión después de que se haya introducido; solo los métodos basados en FIDO2/WebAuthn, que verifican el dominio real al que se conecta el usuario, resisten este tipo de proxy intermedio.
Escrito por Eloy Andrade
