BigBear 2.0, c’est le nom d’une plateforme de phishing-as-a-service qui a intercepté plus de 5 000 identifiants et permis la compromission de comptes Microsoft 365 appartenant à 258 organisations. Et la France figure parmi les pays les plus touchés. Voici ce que l’on sait à propos de cette menace.
Un nouveau rapport publié par CloudSEK évoque le kit de phishing BigBear 2.0, une déclinaison commerciale d’Evilginx2, un framework open source. Dans le cadre de leurs travaux, les chercheurs ont réussi à obtenir un accès administrateur au panneau de contrôle, ce qui leur a donné une vue complète sur l’infrastructure, les affiliés et les données volées. Et le moins que l’on puisse dire, c’est que ça tourne à plein régime.
Avant de parler de cette campagne, parlons de la technique utilisée en elle-même. Ici, il est question d’une attaque de type adversary-in-the-middle (AiTM). La victime clique sur un lien de phishing et atterrit sur une page qui relaie en temps réel les informations du vrai portail de connexion Microsoft. Elle saisit son e-mail, son mot de passe, valide son MFA par notification push, code TOTP ou SMS… et tout transite par le proxy de l’attaquant.
L’intérêt pour l’attaquant : capturer le cookie de session valide émis par Microsoft avant même qu’il n’arrive dans le navigateur de la victime. Vous l’aurez compris, pour l’attaquant c’est une voie royale : il rejoue simplement le cookie et contourne le MFA au passage. La technique est bien connue, j’en ai déjà parlé, comme par exemple dans mon article sur VoidProxy, cette plateforme de phishing qui vole les comptes Microsoft 365 et Google malgré le MFA. BigBear 2.0 s’inscrit dans la même lignée.
Source : CloudSEK
Une opération industrialisée, avec la France en deuxième position
Le panneau d’administration associé au service BigBear 2.0 gère 42 serveurs VPS, tous hébergés chez Vultr, et dédié exclusivement à Microsoft 365. L’opérateur loue la plateforme à au moins cinq affiliés, chacun recevant les identifiants volés en temps réel via son propre bot Telegram.
Et la moisson est importante : “Le panneau a exfiltré 5 137 enregistrements d’identifiants, dont 474 authentifications complètes avec contournement du MFA, 1 032 mots de passe en clair et 4 148 cookies de session, affectant 3 331 adresses IP de victimes uniques dans plus de 40 pays, l’opération étant toujours active au moment de la rédaction”, écrit CloudSEK. Il serait question de 258 compromissions de comptes Microsoft avérées.
Où se situent les cibles ? D’après ce même rapport, l’Inde arrive en tête avec 658 enregistrements (12,8 % du total), suivie de la France avec 463 enregistrements (9 %), puis de l’Arabie saoudite. Côté secteurs, les prestataires de services IT et MSP seraient les plus visés, avec 151 organisations (même si la plus grosse part du graphe correspond à la tranche inconnue). Un choix cohérent pour maximiser l’impact : compromettre un infogérant, c’est potentiellement ouvrir la porte de dizaines de clients.
Source : CloudSEK
Trois injections JavaScript pour neutraliser vos défenses
Ce qui distingue BigBear 2.0 d’un Evilginx2 standard, ce sont trois scripts injectés dans chaque page de connexion relayée :
Désactivation de FIDO2/WebAuthn. Le script redéfinit l’objet PublicKeyCredential du navigateur pour le rendre indisponible. Résultat : l’utilisateur équipé d’une clé de sécurité ou d’une passkey est renvoyé vers une méthode plus faible (SMS, code OTP), qui, elle, est vulnérable à l’interception.
Blocage de la télémétrie Microsoft. Les requêtes vers events.data.microsoft.com, OneCollector et les canary tokens sont silencieusement supprimées, ce qui empêche Microsoft de repérer la page frauduleuse.
Case “Rester connecté” cochée automatiquement. Le script coche l’option et clique sur le bouton de validation après 800 millisecondes, afin de maximiser la durée de vie du cookie volé.
À cela s’ajoute un pool de proxies résidentiels couvrant 69 pays. Quand une victime française se connecte, le trafic vers Microsoft sort par une IP résidentielle française. Les alertes de connexion depuis un pays inhabituel et les stratégies d’accès conditionnel basées sur la localisation n’y voient que du feu. BigBear 2.0 est aussi conçu pour bloquer les visiteurs arrivant depuis un datacenter ou un VPN, ce qui complique la tâche des chercheurs et des sandboxes. Enfin, une fonction de keepalive rafraîchit les sessions capturées à partir du refresh token, valable jusqu’à 90 jours chez Microsoft : histoire de pouvoir les exploiter ultérieurement.
Pour se protéger de cette menace, CloudSEK y va aussi de son lot de recommandations. Si un compte a été exposé, il est essentiel de réinitialiser son mot de passe, et surtout de révoquer les sessions. Sur le fond, pour se prémunir, une seule méthode résiste structurellement à l’AiTM : FIDO2/WebAuthn. À ce sujet, Windows Hello for Business en fait partie, et j’ai justement publié un guide complet pour le déployer avec Intune. Il est aussi préférable de conditionner l’accès à un appareil géré plutôt qu’à une géolocalisation (stratégie d’accès conditionnelle).
Mais bon, comme je l’évoquais, BigBear 2.0 injecte un script destiné à saboter l’utilisation de FIDO2 pour pousser l’utilisateur vers une méthode faible. Il faudrait donc empêcher ce fallback, à minima sur les comptes sensibles, au niveau des stratégies d’authentification.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.