Forscher verfolgen Phishing-Kit BigBear 2.0, das Microsoft-365-Nutzer in über 40 Ländern ins Visier nimmt
in einfachen worten
Hacker nutzten einen Betrugsbaukasten, der Menschen dazu brachte, ihre Anmeldedaten für Arbeits-E-Mails herauszugeben. Die Sicherheitsfirma CloudSEK entdeckte ihn, er traf Gruppen in mehr als 40 Ländern. Ein Unternehmen für Domaindaten prüfte danach die Webadressen und Internetnummern, die der Betrug nutzte.
Ausführliche Zusammenfassung
Sicherheitsforscher von CloudSEK haben eine weltweite Phishing-as-a-Service-Operation aufgedeckt, die auf Microsoft-365-Konten zielt. Die Gruppe, die sie „BigBear 2.0“ nannten, traf Hunderte Organisationen in mehr als 40 Ländern. Ihre Untersuchung legte das Verwaltungs-Panel der Angreifer offen, ihr Partnernetzwerk, die Phishing-Infrastruktur und Tausende gestohlene Zugangsdaten und Sitzungscookies. Die Forscher sagen, der Fall zeige, wie sogenannte AiTM-Angriffe Sitzungen übernehmen können, selbst wenn Nutzer die Multi-Faktor-Authentifizierung eingeschaltet haben.
WhoisXML API, ein Anbieter von Domainrecherche-, WHOIS Herkömmlicher Abfragedienst für Registrierungsdaten von Domains, bei gTLDs inzwischen durch RDAP ersetzt. Vollständige Definition von WHOIS- und DNS-Daten, analysierte danach die Netzwerkindikatoren der Kampagne. Die Forscher gingen von 48 Indikatoren aus, bestehend aus einer Subdomain Name, der unterhalb einer registrierten Domain angelegt wird, etwa shop.example.com. Vollständige Definition von Subdomain, Domains und IP-Adressen. Nach der Prüfung der Eigentümerschaft der eindeutigen Domains mithilfe des WhoisXML API MCP Servers behielten sie eine Subdomain, 12 Domains und 25 IP-Adressen, also insgesamt 38 Indikatoren.
Die Subdomain wurde erstmals am 29. Juni 2026 und zuletzt am 21. Juli 2026 gesehen. Sie gehörte zu einer Welle von login-ähnlichen Subdomains, die an diesem Tag registriert wurden und laut den Forschern an Phishing Das Vortäuschen einer vertrauenswürdigen Identität, um Daten zu stehlen, oft mit ähnlich aussehenden Domains. Vollständige Definition von Phishing mit Zugangsdaten oder gefälschte Staging-Panels für Admins erinnern. Andere Subdomains unter derselben Apex-Domain Der Name ohne vorangestellte Subdomain an der Spitze einer DNS-Zone, etwa example.com. Vollständige Definition von Apex-Domain trugen gängige Hosting-Namen, die nach Einschätzung der Forscher legitim wirken, dazu mehrere, die ebenfalls am 29. Juni 2026 erstmals gesehen wurden und die sie als verdächtig beschreiben.
Die zwölf Domain-Indikatoren wurden zwischen dem 14. Juni 2002 und dem 8. Oktober 2022 angelegt. Bei einer Domain war kein Registrar Ein Unternehmen, das Domainnamen im Auftrag von Kunden bei der Registry registriert. Vollständige Definition von Registrar verzeichnet, die anderen 11 wurden von neun Registraren verwaltet. Zehn hatten Domaininhaber-Länder im Register, verteilt auf sechs Länder. Historische DNS-Daten zeigten 3.230 Domain-zu-IP-Auflösungen über die Zeit für diese Domains.
Die 25 IP-Indikatoren verteilten sich auf 17 verschiedene ASNs und wurden in neun Ländern geolokalisiert, darunter die Vereinigten Staaten. Sie wurden von vier Internetdienstanbietern verwaltet. Beispieldaten zum Netzwerkverkehr zeigten 81 eindeutige IP-Adressen, die möglicherweise Opfern gehören und mit 18 der IP-Indikatoren kommunizierten. Historische Aufzeichnungen zeigten 1.012 IP-zu-Domain-Auflösungen für 22 der IP-Indikatoren.
Die Untersuchung gibt einen detaillierten Einblick, wie die Infrastruktur der Kampagne über mehrere Jahre aufgebaut und wiederverwendet wurde.