Die Phishing-Kampagne "BigBear 2.0" kapert Microsoft 365-Sitzungen nach der MFA
CloudSEK hat 4.148 gestohlene Sitzungs-Cookies und 1.032 Passwörter im Klartext bei einer Aktion entdeckt, die sich gegen 461 Organisationen in mehr als 40 Ländern richtete.
Eine "Phishing-as-a-Service"-Operation, die auf Microsoft 365-Nutzer abzielte, hat Tausende von Sitzungs-Cookies gesammelt, die dazu verwendet werden könnten, authentifizierte Sitzungen zu kapern, nachdem die Opfer die Multi-Faktor-Authentifizierung abgeschlossen haben, so CloudSEK.
Das Cybersicherheitsunternehmen gab in einem Bericht bekannt, dass es die als "BigBear 2.0" bekannte Operation im Juni aufgedeckt habe, nachdem es Zugriff auf deren Verwaltungsbereich erlangt hatte.
Das Panel enthielt 5.137 Anmeldedaten-Einträge, die mit 461 betroffenen Organisationen in mehr als 40 Ländern verknüpft waren. CloudSEK meldete außerdem 4.148 erfasste Sitzungs-Cookies und 1.032 Passwörter im Klartext. Das Unternehmen gab an, dass 474 Einträge abgeschlossene Anmeldungen zeigten, bei denen Angreifer die nach der MFA erstellte authentifizierte Sitzung ergriffen hatten.
"BigBear 2.0" basiert auf "Evilginx2", einem Framework, das einen vom Angreifer kontrollierten Reverse-Proxy zwischen dem Opfer und dem legitimen Authentifizierungsdienst von Microsoft schaltet. Das Opfer meldet sich über die Proxy-Seite an und führt die MFA wie gewohnt durch. Sobald Microsoft ein authentifiziertes Sitzungs-Cookie ausstellt, kann die Phishing-Infrastruktur dieses abfangen und es dem Angreifer ermöglichen, die Sitzung wiederzuverwenden, ohne den Authentifizierungsprozess erneut durchlaufen zu müssen.
Die Operation nutzt zudem Residential-Proxys, die entsprechend dem Land des Opfers ausgewählt werden, wodurch der böswillige Authentifizierungsverkehr geografisch mit dem Standort des Nutzers übereinstimmen kann. CloudSEK erklärte, dass diese Technik standortbasierte Prüfungen schwächen kann, die in Richtlinien für den bedingten Zugriff verwendet werden.
Die Forscher fanden zudem benutzerdefinierten Code, der darauf ausgelegt ist, die FIDO2/WebAuthn-Authentifizierung auf den Phishing-Seiten zu deaktivieren, wodurch Nutzer möglicherweise zu schwächeren, für Phishing anfälligen Authentifizierungsmethoden geleitet werden.
CloudSEK beschrieb BigBear 2.0 als einen Multi-User-Dienst mit mindestens fünf identifizierten Partnerbetreibern. Das Unternehmen gab an, im Verlauf der Kampagne 42 Virtual-Private-Server-Knoten (VPS) beobachtet zu haben, von denen 26 seit Ende Juli aus dem Panel gelöscht wurden.
IT-Dienstleister und Managed-Service-Provider machten 151 der von CloudSEK identifizierten Organisationen aus und waren damit der am stärksten vertretene Sektor in den Daten. Solche Organisationen können besonders wertvolle Ziele darstellen, da Mitarbeiter möglicherweise über privilegierten Zugriff auf Kundenumgebungen und Verwaltungssysteme verfügen.
Sitzungsdiebstahl wird zum Mainstream
Die Bedeutung von BigBear 2.0 liegt nicht nur in seiner Fähigkeit, authentifizierte Sitzungen nach MFA zu erfassen, sondern auch darin, wie es Techniken, die früher eher mit erfahrenen Angreifern in Verbindung gebracht wurden, in einen Dienst bündelt, der in großem Maßstab genutzt werden kann, sagte Keith Prabhu, Gründer und CEO von Confidis.
Die zugrunde liegende Technik sei nicht neu, sagte Akshat Tyagi, Associate Practice Leader bei HFS Research. "Was BigBear 2.0 verändert, sind die Zugänglichkeit und der Umfang", so Tyagi. "Es bündelt AiTM-Phishing, Residential-Proxys und automatisiertes Cookie-Replay zu einem Dienst, der das für die Durchführung dieser Angriffe erforderliche Fachwissen reduziert."
Diese Verschiebung bedeute, dass Unternehmen über den Schutz des Authentifizierungsvorgangs selbst hinausdenken müssten, sagte er, da eine erfasste Sitzung einem Angreifer möglicherweise Zugriff auf Microsoft 365 gewähren könne, ohne dass ein weiteres Passwort oder eine MFA-Abfrage erforderlich sei.
Prabhu fügte hinzu, dass eine erfolgreiche MFA nicht länger als Beweis dafür angesehen werden sollte, dass ein Konto oder eine Sitzung sicher bleibt.
Sitzungs-Cookies sowie Zugangs- und Aktualisierungstoken sollten als hochwertiges Authentifizierungsmaterial behandelt werden und nicht als technische Artefakte hinter dem Passwort, sagte Sakshi Grover, Senior Research Manager für Cybersicherheitsprodukte und -dienstleistungen bei IDC Asia Pacific.
Das Risiko bestehe darin, so Grover, dass viele Kontrollmechanismen in Unternehmen nach wie vor darauf ausgerichtet seien, den Diebstahl von Anmeldedaten zu erkennen, anstatt die Übernahme einer bereits authentifizierten Sitzung.
Phishing-resistente Authentifizierung wird entscheidend
OTP, SMS und Push-basierte MFA sollten nicht als eigenständige Abwehrmaßnahmen gegen diese Art von Angriffen herangezogen werden, so Tyagi, da der Angreifer dem legitimen Benutzer erlauben kann, die Authentifizierung abzuschließen, bevor er die daraus resultierende Sitzung stiehlt.
Tyagi erklärte, Unternehmen sollten phishing-resistente Authentifizierungsmethoden wie FIDO2/WebAuthn-Passkeys vorschreiben, anstatt diese lediglich neben schwächeren Alternativen anzubieten. Prabhu nannte "Windows Hello for Business" und die zertifikatsbasierte Authentifizierung als weitere Optionen, wobei stärkere Methoden durch die Authentifizierungsstufen des bedingten Zugriffs durchgesetzt werden.
Grover sagte, Unternehmen sollten auch die kontinuierliche Zugriffsbewertung und den Token-Schutz nutzen, sofern Microsoft 365 diese unterstützt, warnte jedoch davor, den Token-Schutz als Komplettlösung zu betrachten, da die Abdeckung je nach Plattform, Client und Workload variiert.
Das Problem sei auch operativer Natur, so Grover. Identitäts- und Zugriffstools sind nicht immer ausreichend in Sicherheitsabläufe oder SIEM-Plattformen integriert, wodurch potenziell nützliche Identitätssignale den für die Erkennung von Angriffen zuständigen Analysten vorenthalten bleiben.
Das Zurücksetzen von Passwörtern reicht nicht aus
Behandeln Sie das Ereignis als Kompromittierung einer aktiven Sitzung und nicht lediglich als Vorfall mit einem gestohlenen Passwort.
Er empfahl, das betroffene Konto zu deaktivieren oder einzuschränken, Entra-Anmeldesitzungen und Aktualisierungstoken zu widerrufen sowie eine erneute Authentifizierung zu erzwingen. Die für die Vorfallbearbeitung zuständigen Mitarbeiter sollten anschließend die Microsoft-365-Protokolle auf Hinweise auf Postfachzugriff, bösartige Posteingangsregeln, ungewöhnliche OAuth-Zustimmungen, neu registrierte MFA-Geräte, Änderungen von Berechtigungen und den Zugriff auf andere Cloud-Anwendungen untersuchen.
Tyagi wies darauf hin, dass der IP-Standort bei solchen Untersuchungen nur begrenzte Sicherheit bieten könne, da private Proxys die Aktivitäten des Angreifers geografisch mit denen des legitimen Nutzers übereinstimmen lassen könnten. Die für die Vorfallbearbeitung zuständigen Mitarbeiter sollten sich stattdessen darauf konzentrieren, den Ablauf der kompromittierten Sitzung zu rekonstruieren, sagte er.
Ermittler sollten außerdem feststellen, ob die gestohlene Sitzung dazu genutzt wurde, andere Mitarbeiter, Kunden oder externe Kontakte zu erreichen, fügte Prabhu hinzu.
Grover erklärte, dass Unternehmen Session-Hijacking auch in Tabletop-Übungen einbeziehen sollten, um zu testen, wie sich Identitäts-, Sicherheits-, Messaging- und Cloud-Teams bei einer Kompromittierung einer authentifizierten Sitzung koordinieren würden. Solche Übungen können Lücken aufdecken, die in Simulationen, die sich auf herkömmlichen Diebstahl von Anmeldedaten oder Ransomware konzentrieren, möglicherweise nicht zutage treten, sagte sie.