Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat in einer koordinierten Kampagne die Multi-Faktor-Authentifizierung (MFA) bei 258 Organisationen ausgehebelt und mehr als 5.000 Microsoft-365-Zugangsdaten abgegriffen. Sicherheitsforscher von CloudSEK verschafften sich Zugang zum Administrationspanel des Dienstes und legten offen, wie die Angreifer mit 42 virtuellen Privatservern (VPS) gezielt Microsoft 365aaa-Instanzen attackierten – und das mit beunruhigendem Erfolg.
Was ist BigBear 2.0?
BigBear 2.0 ist ein Phishing-as-a-Service (PhaaS)-Framework, das auf der Open-Source-Plattform Evilginx2 basiert. Es nutzt eine Adversary-in-the-Middle (AiTM)-Architektur, um Passwörter und authentifizierte Session-Cookies abzufangen. Die Besonderheit: Selbst wenn ein Opfer die MFA-Abfrage erfolgreich abschließt, wird die Sitzung mitsamt dem gültigen Cookie an die Angreifer weitergeleitet. Diese können damit die gesamte Authentifizierungssitzung übernehmen, ohne dass ein erneuter Login oder eine zweite MFA-Abfrage erforderlich ist. CloudSEK identifizierte eine spezifische Konfiguration namens „offy“, die einen nahtlosen Proxy zwischen dem Opfer und der legitimen Microsoft-Authentifizierungsinfrastruktur herstellt.
Die Kampagne im Detail: 5.137 gestohlene Datensätze und 42 VPS-Knoten
CloudSEK dokumentierte, dass das Panel insgesamt 5.137 Credential-Datensätze exfiltriert hat. Darunter befinden sich 474 vollständige MFA-umgangene Authentifizierungen, 1.032 Klartext-Passwörter und 4.148 Session-Cookies. Die Angriffe betrafen 3.331 eindeutige Opfer-IPs aus mehr als 40 Ländern. Die Infrastruktur war zum Zeitpunkt der Analyse noch aktiv. Der Multi-User-PhaaS-Panel wurde an mindestens fünf Partnerbetreiber vermietet, die über Telegram-Bots die gestohlenen Daten in Echtzeit erhielten. Von den ursprünglich 461 ins Visier genommenen Organisationen wiesen 258 mindestens eine erfolgreich umgangene MFA-Authentifizierung auf.
Wie BigBear 2.0 die Multi-Faktor-Authentifizierung umgeht
Der Angriffsmechanismus ist mehrstufig und hochentwickelt. Zunächst wird ein AiTM-Proxy zwischen dem Opfer und Microsofts Authentifizierungsendpunkten positioniert. Der Benutzer gibt seine Anmeldedaten ein und besteht die MFA-Abfrage – der Proxy erfasst dabei sowohl das Passwort als auch das Session-Cookie, das nach erfolgreicher Authentifizierung ausgestellt wird. Dieses Cookie wird über eine API an die Angreifer zurückgespielt, die damit die aktive Sitzung übernehmen. Um die Erkennung zu erschweren, setzt BigBear 2.0 auf geografisch passende Residential-Proxys aus 69 Ländern. Diese Proxys spiegeln die tatsächliche geografische Herkunft des Opfers vor, sodass Microsofts Standort- und Risikoanalyse keine Anomalie erkennt. Zudem injiziert das Framework benutzerdefiniertes JavaScript, das die FIDO2/WebAuthn-Funktionalität im Browser unterdrückt. Dadurch werden Opfer gezwungen, auf schwächere Authentifizierungsmethoden wie Passwort + SMS-Code oder App-Bestätigung auszuweichen, die sich leichter abfangen lassen.
Warum FIDO2/WebAuthn blockiert wird
FIDO2/WebAuthn gilt als phishing-resistent, da es kryptografische Schlüssel verwendet, die nicht über einen Proxy repliziert werden können. Indem BigBear 2.0 diese Methode im Browser des Opfers deaktiviert, eliminiert es die stärkste Verteidigungslinie gegen AiTM-Angriffe. Die Forscher fanden heraus, dass das JavaScript gezielt die WebAuthn-API überschreibt, sodass die Authentifizierung fehlschlägt und der Benutzer auf eine alternative Methode zurückgreifen muss. Dadurch wird der gesamte MFA-Schutz effektiv ausgehebelt.
Betroffene Organisationen und geografische Verteilung
Die Kampagne erstreckte sich über mehr als 40 Länder. CloudSEK stellte fest, dass die Angreifer für 69 Länder Residential-Proxys vorhielten, um die geografische Herkunft der Opfer zu imitieren. Die 258 Organisationen mit vollständigen MFA-Bypass-Kompromittierungen stammen aus verschiedenen Branchen, wobei der Fokus auf Microsoft-365-Umgebungen lag. Die Forscher betonten, dass die tatsächliche Zahl der Betroffenen höher sein könnte, da das Panel während der Analyse noch aktiv war und neue Cookie-Daten in Echtzeit eintrafen. CloudSEK benachrichtigte die Strafverfolgungsbehörden und mehrere betroffene Unternehmen. Das Administrationspanel ist zum Zeitpunkt der Veröffentlichung weiterhin online, auch wenn die Phishing-Infrastruktur seit fast drei Wochen nicht mehr aktiv ist. Dies deutet darauf hin, dass die Betreiber möglicherweise eine neue Kampagne vorbereiten oder die Infrastruktur rotieren lassen.
Schutzmaßnahmen für Unternehmen
Unternehmen, die von BigBear 2.0 betroffen sein könnten, sollten umgehend folgende Maßnahmen ergreifen: Alle kompromittierten Passwörter zurücksetzen, aktive Authentifizierungssitzungen widerrufen, Refresh-Tokens erneuern und für privilegierte Konten eine erneute Authentifizierung erzwingen. Darüber hinaus empfiehlt CloudSEK, phishing-resistente FIDO2/WebAuthn-Methoden verbindlich vorzuschreiben – etwa mittels Conditional-Access-Richtlinien, die den Zugriff auf verwaltete Geräte beschränken. Die reine geografische Standortprüfung ist unzureichend, da Angreifer mit Residential-Proxys diese Signale leicht umgehen können. Auch die Implementierung von Risikobewertungen auf Basis von Gerätezustand und Benutzerverhalten (z. B. ungewöhnliche Login-Zeiten oder IP-Wechsel) kann helfen, AiTM-Angriffe frühzeitig zu erkennen.
Die Kampagne zeigt eindrucksvoll, dass selbst etablierte MFA-Verfahren keine absolute Sicherheit bieten, sobald Angreifer auf Session-Cookies abzielen. PhaaS-Plattformen wie BigBear 2.0 senken die Einstiegshürde für Cyberkriminelle erheblich: Sie müssen keine eigene Infrastruktur aufbauen, sondern mieten lediglich Zugang zu einem getesteten und optimierten Angriffssystem. Unternehmen müssen daher ihre Sicherheitsstrategie über die reine Authentifizierung hinaus erweitern und auf kontinuierliche Überwachung von Session-Aktivitäten, abnormale Cookie-Nutzung sowie den Einsatz von Desktop- und Geräteverwaltung setzen. Solange die Administrationspanels solcher Dienste online bleiben, ist mit weiteren, ähnlich gelagerten Angriffswellen zu rechnen.
