---
id: "2857d0bb-8e75-4fb0-afc4-8d16212ec665"
kind: "link"
title: "Forscher verfolgen Phishing-Kit BigBear 2.0, das Microsoft-365-Nutzer in über 40 Ländern ins Visier nimmt"
language: "de"
section: "security"
date: "2026-10-19T20:26:13Z"
updated: "2026-10-19T20:26:13Z"
canonical: "https://tldlog.com/de/l/forscher-verfolgen-phishing-kit-bigbear-2-0-microsoft-365/"
origin: "reviewed"
master: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
translations:
  en: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
  es: "https://tldlog.com/es/l/investigadores-rastrean-kit-phishing-bigbear-2-0-contra/"
  fr: "https://tldlog.com/fr/l/chercheurs-retracent-kit-bigbear-2-0-phishing-visant/"
  it: "https://tldlog.com/it/l/ricercatori-rintracciano-kit-phishing-bigbear-2-0-contro/"
  pt-BR: "https://tldlog.com/pt/l/pesquisadores-rastreiam-kit-phishing-bigbear-2-0-que-mira/"
  ru: "https://tldlog.com/ru/l/issledovateli-prosledili-fishingovyy-nabor-bigbear-2-0/"
  zh-Hans: "https://tldlog.com/zh/l/zhuizong-bigbear-2-0-wangluo-diaoyu/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries"
  language: "en"
  date: "2026-10-19T16:27:00Z"
---

# Forscher verfolgen Phishing-Kit BigBear 2.0, das Microsoft-365-Nutzer in über 40 Ländern ins Visier nimmt

## in einfachen worten

Hacker nutzten einen Betrugsbaukasten, der Menschen dazu brachte, ihre Anmeldedaten für Arbeits-E-Mails herauszugeben. Die Sicherheitsfirma CloudSEK entdeckte ihn, er traf Gruppen in mehr als 40 Ländern. Ein Unternehmen für Domaindaten prüfte danach die Webadressen und Internetnummern, die der Betrug nutzte.

Sicherheitsforscher von CloudSEK haben eine weltweite Phishing-as-a-Service-Operation aufgedeckt, die auf Microsoft-365-Konten zielt. Die Gruppe, die sie „BigBear 2.0“ nannten, traf Hunderte Organisationen in mehr als 40 Ländern. Ihre Untersuchung legte das Verwaltungs-Panel der Angreifer offen, ihr Partnernetzwerk, die Phishing-Infrastruktur und Tausende gestohlene Zugangsdaten und Sitzungscookies. Die Forscher sagen, der Fall zeige, wie sogenannte AiTM-Angriffe Sitzungen übernehmen können, selbst wenn Nutzer die Multi-Faktor-Authentifizierung eingeschaltet haben.

WhoisXML API, ein Anbieter von Domainrecherche-, WHOIS- und DNS-Daten, analysierte danach die Netzwerkindikatoren der Kampagne. Die Forscher gingen von 48 Indikatoren aus, bestehend aus einer Subdomain, Domains und IP-Adressen. Nach der Prüfung der Eigentümerschaft der eindeutigen Domains mithilfe des WhoisXML API MCP Servers behielten sie eine Subdomain, 12 Domains und 25 IP-Adressen, also insgesamt 38 Indikatoren.

Die Subdomain wurde erstmals am 29. Juni 2026 und zuletzt am 21. Juli 2026 gesehen. Sie gehörte zu einer Welle von login-ähnlichen Subdomains, die an diesem Tag registriert wurden und laut den Forschern an Phishing mit Zugangsdaten oder gefälschte Staging-Panels für Admins erinnern. Andere Subdomains unter derselben Apex-Domain trugen gängige Hosting-Namen, die nach Einschätzung der Forscher legitim wirken, dazu mehrere, die ebenfalls am 29. Juni 2026 erstmals gesehen wurden und die sie als verdächtig beschreiben.

Die zwölf Domain-Indikatoren wurden zwischen dem 14. Juni 2002 und dem 8. Oktober 2022 angelegt. Bei einer Domain war kein Registrar verzeichnet, die anderen 11 wurden von neun Registraren verwaltet. Zehn hatten Domaininhaber-Länder im Register, verteilt auf sechs Länder. Historische DNS-Daten zeigten 3.230 Domain-zu-IP-Auflösungen über die Zeit für diese Domains.

Die 25 IP-Indikatoren verteilten sich auf 17 verschiedene ASNs und wurden in neun Ländern geolokalisiert, darunter die Vereinigten Staaten. Sie wurden von vier Internetdienstanbietern verwaltet. Beispieldaten zum Netzwerkverkehr zeigten 81 eindeutige IP-Adressen, die möglicherweise Opfern gehören und mit 18 der IP-Indikatoren kommunizierten. Historische Aufzeichnungen zeigten 1.012 IP-zu-Domain-Auflösungen für 22 der IP-Indikatoren.

Die Untersuchung gibt einen detaillierten Einblick, wie die Infrastruktur der Kampagne über mehrere Jahre aufgebaut und wiederverwendet wurde.

Quelle: [circleid.com](https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries)