La campagne de phishing BigBear 2.0 détourne les sessions Microsoft 365 après MFA

Une opération de phishing en tant que service ciblant les utilisateurs de Microsoft 365 a collecté des milliers de cookies de session qui pourraient être utilisés pour détourner des sessions authentifiées une fois que les victimes ont terminé l’authentification multifactorielle, a déclaré CloudSEK.

La société de cybersécurité a déclaré dans un rapport avoir découvert l’opération, connue sous le nom de BigBear 2.0, en juin après avoir eu accès à son panel administratif.

Le panel contenait 5 137 dossiers d’accréditation liés à 461 organisations ciblées dans plus de 40 pays. CloudSEK a également signalé 4 148 cookies de session capturés et 1 032 mots de passe en texte brut. La société a déclaré que 474 enregistrements montraient des connexions terminées au cours desquelles les attaquants avaient capturé la session authentifiée créée après MFA.

BigBear 2.0 repose sur Evilginx2, un framework qui place un proxy inverse contrôlé par l’attaquant entre la victime et le service d’authentification légitime de Microsoft. La victime se connecte via la page proxy et termine la MFA comme d’habitude. Une fois que Microsoft émet un cookie de session authentifié, l’infrastructure de phishing peut l’intercepter et permettre à l’attaquant de réutiliser la session sans refaire le processus d’authentification.

L’opération utilise également des proxys résidentiels sélectionnés en fonction du pays de la victime, ce qui peut faire apparaître un trafic d’authentification malveillant géographiquement cohérent avec l’utilisateur. CloudSEK a déclaré que cette technique peut affaiblir les contrôles basés sur la localisation utilisés dans les politiques d’accès conditionnel.

Les chercheurs ont également découvert un code personnalisé conçu pour désactiver l’authentification FIDO2/WebAuthn sur les pages de phishing, orientant potentiellement les utilisateurs vers des méthodes d’authentification plus faibles et phishables.

CloudSEK a décrit BigBear 2.0 comme un service multi-utilisateurs avec au moins cinq opérateurs affiliés identifiés. La société a déclaré avoir observé 42 nœuds de serveurs privés virtuels (VPS) au cours de la campagne, dont 26 ont été supprimés du panel depuis fin juillet.

Les services informatiques et les fournisseurs de services gérés représentaient 151 des organisations identifiées par CloudSEK, ce qui en fait le secteur le plus représenté dans ses données. De telles organisations peuvent constituer des cibles particulièrement intéressantes car les employés peuvent détenir un accès privilégié aux environnements clients et aux systèmes administratifs.

Le vol de session devient monnaie courante

L’importance de BigBear 2.0 ne réside pas seulement dans sa capacité à capturer des sessions authentifiées après MFA, mais aussi dans la manière dont il regroupe des techniques autrefois associées à des attaquants plus expérimentés dans un service pouvant être utilisé à grande échelle, a déclaré Keith Prabhu, fondateur et PDG de Confidis.

La technique sous-jacente n’est pas nouvelle, a déclaré Akshat Tyagi, responsable associé de la pratique chez HFS Research. « Ce que BigBear 2.0 change, c’est l’accessibilité et l’évolutivité », a déclaré Tyagi. « Il regroupe le phishing AiTM, les proxys résidentiels et la relecture automatisée des cookies dans un service qui réduit l’expertise nécessaire pour exécuter ces attaques. »

Ce changement signifie que les entreprises doivent penser au-delà de la protection de l’événement d’authentification lui-même, a-t-il déclaré, car une session capturée peut donner à un attaquant l’accès à Microsoft 365 sans autre mot de passe ni défi MFA.

Prabhu a ajouté qu’une MFA réussie ne devrait plus être considérée comme une preuve qu’un compte ou une session reste sécurisé.

Les cookies de session et les jetons d’accès et d’actualisation doivent être traités comme du matériel d’authentification de grande valeur plutôt que comme des artefacts techniques derrière le mot de passe, a déclaré Sakshi Grover, directeur de recherche principal pour les produits et services de cybersécurité chez IDC Asie-Pacifique.

Le risque, a-t-elle déclaré, est que de nombreux contrôles d’entreprise sont toujours axés sur la détection du vol d’identifiants plutôt que sur le détournement d’une session déjà authentifiée.

L’authentification résistante au phishing devient essentielle

L’OTP, les SMS et l’authentification multifacteur push ne doivent pas être utilisés comme défenses autonomes contre ce type d’attaque, a déclaré Tyagi, car l’attaquant peut permettre à l’utilisateur légitime de terminer son authentification avant de voler la session résultante.

Tyagi a déclaré que les entreprises devraient appliquer une authentification résistante au phishing, telle que les clés d’accès FIDO2/WebAuthn, plutôt que de simplement la rendre disponible aux côtés d’alternatives plus faibles. Prabhu a souligné Windows Hello for Business et l’authentification basée sur les certificats comme options supplémentaires, avec des méthodes plus strictes appliquées via les niveaux d’authentification à accès conditionnel.

Grover a déclaré que les organisations devraient également utiliser l’évaluation d’accès continu et la protection des jetons là où Microsoft 365 les prend en charge, mais a mis en garde contre le traitement de la protection par jetons comme une solution complète, car la couverture varie selon les plates-formes, les clients et les charges de travail.

Le problème est également opérationnel, a déclaré Grover. Les outils d’identité et d’accès ne sont pas toujours suffisamment intégrés aux opérations de sécurité ou aux plateformes SIEM, laissant les signaux d’identité potentiellement utiles déconnectés des analystes chargés de détecter les attaques.

Les réinitialisations de mot de passe ne suffisent pas

« Traitez l’événement comme une compromission de session active, et pas simplement comme un incident de mot de passe volé », a déclaré Prabhu.

Il a recommandé de désactiver ou de contenir le compte concerné, de révoquer les sessions de connexion Entra et les jetons d’actualisation, et de forcer la réauthentification. Les intervenants en cas d’incident doivent ensuite examiner les journaux Microsoft 365 à la recherche de preuves d’accès à la boîte aux lettres, de règles de boîte de réception malveillantes, de consentement OAuth inhabituel, d’appareils MFA nouvellement enregistrés, de modifications de privilèges et d’accès à d’autres applications cloud.

Tyagi a averti que la localisation IP peut fournir une assurance limitée dans de telles enquêtes, car les proxys résidentiels peuvent donner l’impression que l’activité des attaquants correspond géographiquement à celle de l’utilisateur légitime. Les intervenants devraient plutôt se concentrer sur la reconstruction de ce qui s’est passé lors de la session compromise, a-t-il déclaré.

Les enquêteurs doivent également déterminer si la session volée a été utilisée pour joindre d’autres employés, clients ou contacts externes, a ajouté Prabhu.

Grover a déclaré que les organisations devraient également inclure le détournement de session dans les exercices sur table, en testant la manière dont les équipes d’identité, de sécurité, de messagerie et de cloud se coordonneraient lors d’une compromission de session authentifiée. De tels exercices peuvent révéler des lacunes qui pourraient ne pas apparaître dans les simulations centrées sur le vol d’identifiants conventionnel ou les ransomwares, a-t-elle déclaré.