{"id":51545,"date":"2026-09-08T09:11:48","date_gmt":"2026-09-08T07:11:48","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51545"},"modified":"2026-09-08T09:11:48","modified_gmt":"2026-09-08T07:11:48","slug":"bigbear-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/bigbear-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0-mfa-umgehung-258-organisationen-5000-daten-2-0\/","title":{"rendered":"BigBear 2.0 umgeht MFA bei 258 Organisationen und stiehlt 5000 Zugangsdaten"},"content":{"rendered":"

Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat in einer koordinierten Kampagne die Multi-Faktor-Authentifizierung (MFA) bei 258 Organisationen ausgehebelt und mehr als 5.000 Microsoft<\/a>-365-Zugangsdaten abgegriffen. Sicherheitsforscher von CloudSEK verschafften sich Zugang zum Administrationspanel des Dienstes und legten offen, wie die Angreifer mit 42 virtuellen Privatservern (VPS) gezielt Microsoft 365<\/a>aaa-Instanzen attackierten \u2013 und das mit beunruhigendem Erfolg.<\/p>\n

Was ist BigBear 2.0?<\/h2>\n

BigBear 2.0 ist ein Phishing-as-a-Service (PhaaS)-Framework, das auf der Open-Source-Plattform Evilginx2 basiert. Es nutzt eine Adversary-in-the-Middle (AiTM)-Architektur, um Passw\u00f6rter und authentifizierte Session-Cookies<\/a> abzufangen. Die Besonderheit: Selbst wenn ein Opfer die MFA-Abfrage erfolgreich abschlie\u00dft, wird die Sitzung mitsamt dem g\u00fcltigen Cookie an die Angreifer weitergeleitet. Diese k\u00f6nnen damit die gesamte Authentifizierungssitzung \u00fcbernehmen, ohne dass ein erneuter Login oder eine zweite MFA-Abfrage erforderlich ist. CloudSEK identifizierte eine spezifische Konfiguration namens \u201eoffy\u201c, die einen nahtlosen Proxy zwischen dem Opfer und der legitimen Microsoft-Authentifizierungsinfrastruktur herstellt.<\/p>\n

Die Kampagne im Detail: 5.137 gestohlene Datens\u00e4tze und 42 VPS-Knoten<\/h2>\n

CloudSEK dokumentierte, dass das Panel insgesamt 5.137 Credential-Datens\u00e4tze exfiltriert hat. Darunter befinden sich 474 vollst\u00e4ndige MFA-umgangene Authentifizierungen, 1.032 Klartext-Passw\u00f6rter und 4.148 Session-Cookies. Die Angriffe betrafen 3.331 eindeutige Opfer-IPs aus mehr als 40 L\u00e4ndern. Die Infrastruktur war zum Zeitpunkt der Analyse noch aktiv. Der Multi-User-PhaaS-Panel wurde an mindestens f\u00fcnf Partnerbetreiber vermietet, die \u00fcber Telegram-Bots die gestohlenen Daten in Echtzeit erhielten. Von den urspr\u00fcnglich 461 ins Visier genommenen Organisationen wiesen 258 mindestens eine erfolgreich umgangene MFA-Authentifizierung auf.<\/p>\n

Wie BigBear 2.0 die Multi-Faktor-Authentifizierung umgeht<\/h2>\n

Der Angriffsmechanismus ist mehrstufig und hochentwickelt. Zun\u00e4chst wird ein AiTM-Proxy zwischen dem Opfer und Microsofts Authentifizierungsendpunkten positioniert. Der Benutzer gibt seine Anmeldedaten ein und besteht die MFA-Abfrage \u2013 der Proxy erfasst dabei sowohl das Passwort als auch das Session-Cookie, das nach erfolgreicher Authentifizierung ausgestellt wird. Dieses Cookie wird \u00fcber eine API an die Angreifer zur\u00fcckgespielt, die damit die aktive Sitzung \u00fcbernehmen. Um die Erkennung zu erschweren, setzt BigBear 2.0 auf<\/a> geografisch passende Residential-Proxys aus 69 L\u00e4ndern. Diese Proxys spiegeln die tats\u00e4chliche geografische Herkunft des Opfers vor, sodass Microsofts Standort- und Risikoanalyse keine Anomalie erkennt. Zudem injiziert das Framework benutzerdefiniertes JavaScript, das die FIDO2\/WebAuthn-Funktionalit\u00e4t im Browser unterdr\u00fcckt. Dadurch werden Opfer gezwungen, auf schw\u00e4chere Authentifizierungsmethoden wie Passwort + SMS-Code oder App-Best\u00e4tigung auszuweichen, die sich leichter abfangen lassen.<\/p>\n

Warum FIDO2\/WebAuthn blockiert wird<\/h3>\n

FIDO2\/WebAuthn gilt als phishing-resistent, da es kryptografische Schl\u00fcssel verwendet, die nicht \u00fcber einen Proxy repliziert werden k\u00f6nnen. Indem BigBear 2.0 diese Methode im Browser des Opfers deaktiviert, eliminiert es die st\u00e4rkste Verteidigungslinie gegen AiTM-Angriffe. Die Forscher fanden heraus, dass das JavaScript gezielt die WebAuthn-API \u00fcberschreibt, sodass die Authentifizierung fehlschl\u00e4gt und der Benutzer auf eine alternative Methode zur\u00fcckgreifen muss. Dadurch wird der gesamte MFA-Schutz effektiv ausgehebelt.<\/p>\n

Betroffene Organisationen und geografische Verteilung<\/h2>\n

Die Kampagne erstreckte sich \u00fcber mehr als 40 L\u00e4nder. CloudSEK stellte fest, dass die Angreifer f\u00fcr 69 L\u00e4nder Residential-Proxys vorhielten, um die geografische Herkunft der Opfer zu imitieren. Die 258 Organisationen mit vollst\u00e4ndigen MFA-Bypass-Kompromittierungen stammen aus verschiedenen Branchen, wobei der Fokus auf Microsoft-365-Umgebungen lag. Die Forscher betonten, dass die tats\u00e4chliche Zahl der Betroffenen h\u00f6her sein k\u00f6nnte, da das Panel w\u00e4hrend der Analyse noch aktiv war und neue Cookie-Daten in Echtzeit eintrafen. CloudSEK benachrichtigte die Strafverfolgungsbeh\u00f6rden und mehrere betroffene Unternehmen. Das Administrationspanel ist zum Zeitpunkt der Ver\u00f6ffentlichung weiterhin online, auch wenn die Phishing-Infrastruktur seit fast drei Wochen nicht mehr aktiv ist. Dies deutet darauf hin, dass die Betreiber m\u00f6glicherweise eine neue Kampagne vorbereiten oder die Infrastruktur rotieren lassen.<\/p>\n

Schutzma\u00dfnahmen f\u00fcr Unternehmen<\/h2>\n

Unternehmen, die von BigBear 2.0 betroffen sein k\u00f6nnten, sollten umgehend folgende Ma\u00dfnahmen ergreifen: Alle kompromittierten Passw\u00f6rter zur\u00fccksetzen, aktive Authentifizierungssitzungen widerrufen, Refresh-Tokens erneuern und f\u00fcr privilegierte Konten eine erneute Authentifizierung erzwingen. Dar\u00fcber hinaus empfiehlt CloudSEK, phishing-resistente FIDO2\/WebAuthn-Methoden verbindlich vorzuschreiben \u2013 etwa mittels Conditional-Access-Richtlinien, die den Zugriff auf verwaltete Ger\u00e4te beschr\u00e4nken. Die reine geografische Standortpr\u00fcfung ist unzureichend, da Angreifer mit Residential-Proxys diese Signale leicht umgehen k\u00f6nnen. Auch die Implementierung von Risikobewertungen auf Basis von Ger\u00e4tezustand und Benutzerverhalten (z. B. ungew\u00f6hnliche Login-Zeiten oder IP-Wechsel) kann helfen, AiTM-Angriffe fr\u00fchzeitig zu erkennen.<\/p>\n

Die Kampagne zeigt eindrucksvoll, dass selbst etablierte MFA-Verfahren keine absolute Sicherheit bieten, sobald Angreifer auf Session-Cookies abzielen. PhaaS-Plattformen wie BigBear 2.0 senken die Einstiegsh\u00fcrde f\u00fcr Cyberkriminelle erheblich: Sie m\u00fcssen keine eigene Infrastruktur aufbauen, sondern mieten lediglich Zugang zu einem getesteten und optimierten Angriffssystem. Unternehmen m\u00fcssen daher ihre Sicherheitsstrategie \u00fcber die reine Authentifizierung hinaus erweitern und auf kontinuierliche \u00dcberwachung von Session-Aktivit\u00e4ten, abnormale Cookie-Nutzung sowie den Einsatz von Desktop- und Ger\u00e4teverwaltung setzen. Solange die Administrationspanels solcher Dienste online bleiben, ist mit weiteren, \u00e4hnlich gelagerten Angriffswellen zu rechnen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat in einer koordinierten Kampagne die Multi-Faktor-Authentifizierung (MFA) bei 258 Organisationen ausgehebelt und mehr als 5.000 Microsoft-365-Zugangsdaten abgegriffen. Sicherheitsforscher von CloudSEK verschafften sich Zugang zum Administrationspanel des Dienstes und legten offen, wie die Angreifer mit 42 virtuellen Privatservern (VPS) gezielt Microsoft 365aaa-Instanzen attackierten \u2013 und das mit beunruhigendem Erfolg. Was […]<\/p>\n","protected":false},"author":5,"featured_media":54065,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51545.png","fifu_image_alt":"BigBear 2.0 umgeht MFA bei 258 Organisationen und stiehlt 5000 Zugangsdaten","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51545","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51545.png","fifu_image_alt":"BigBear 2.0 umgeht MFA bei 258 Organisationen und stiehlt 5000 Zugangsdaten","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51545","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51545"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51545\/revisions"}],"predecessor-version":[{"id":51550,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51545\/revisions\/51550"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54065"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51545"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51545"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51545"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}