CloudSEK araştırmacılarına göre BigBear 2.0 adlı kimlik avı hizmeti, 258 kuruluşta çok faktörlü kimlik doğrulamayı aştı ve 5.000'den fazla Microsoft 365 kimlik bilgisi çaldı.
CloudSEK, hizmetin kontrol paneline yönetici erişimi sağladı ve Microsoft 365'i hedefleyecek şekilde yapılandırılmış 42 VPS düğümü buldu. BigBear, kurbanlarla Microsoft'un gerçek kimlik doğrulama altyapısı arasına AiTM proxy'si yerleştiren “offy” yapılandırmasını kullanıyor.
Hizmet, kimliği doğrulanmış Microsoft 365 oturumlarını hedefliyor. Bu oturumlar e-posta ve dosyalara, ayrıca tek oturum açma üzerinden bağlı uygulamalara erişim sağlayabilir. CloudSEK, panelin canlı Telegram veri çıkarma botları üzerinden çalınan kimlik bilgilerini gerçek zamanlı alan en az beş bağlı operatöre kiralandığını söyledi.
Daha geniş hedefleme veri kümesinde 461 kuruluş yer alsa da CloudSEK, 258 farklı kuruluşta en az bir MFA atlatma ihlalinin tamamlandığını belirtti.
BigBear ayrıca FIDO2/WebAuthn kimlik doğrulamasını engellemek ve hedefleri daha zayıf yöntemlere yönlendirmek için özel JavaScript kullanıyor. Altyapı, 69 ülkeyi kapsayan ve kurbanın konumunu konut IP adresiyle eşleştiren proxy'ler kullanıyor.
CloudSEK, kolluk kuvvetlerini ve etkilenen bazı kuruluşları bilgilendirdiğini söyledi. Raporlama sırasında yönetim paneli çevrim içiydi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.