Investigadores rastrean el kit de phishing BigBear 2.0 contra usuarios de Microsoft 365 en más de 40 países
en claro
Unos piratas usaron un kit de estafa que engañaba a la gente para que entregara sus datos de inicio de sesión del correo de trabajo. La empresa de seguridad CloudSEK lo encontró y afectó a grupos de más de 40 países. Una empresa de datos de dominios revisó después las direcciones web y los números de internet que usó la estafa.
Resumen completo
Investigadores de seguridad de CloudSEK descubrieron una operación global de phishing Suplantación de alguien de confianza para robar datos, a menudo con dominios de apariencia similar. Definición completa de phishing como servicio dirigida a cuentas de Microsoft 365. El grupo al que denominaron «BigBear 2.0» afectó a cientos de organizaciones en más de 40 países. Su investigación expuso el panel de administración del atacante, la red de afiliados, la infraestructura de phishing y miles de credenciales robadas y cookies de sesión. Los investigadores afirman que el caso muestra cómo los llamados ataques AiTM pueden apoderarse de sesiones incluso cuando los usuarios tienen activada la autenticación multifactor.
WhoisXML API, proveedor de datos de investigación de dominios, WHOIS Servicio tradicional de consulta de datos de registro de dominios, sustituido ya por RDAP en los gTLD. Definición completa de WHOIS y DNS sistema de nombres de dominio Directorio de Internet que vincula los nombres de dominio con las direcciones de los ordenadores. Definición completa de DNS, analizó después los indicadores de red vinculados a la campaña. Los investigadores partieron de 48 indicadores formados por un subdominio Nombre creado bajo un dominio registrado, como shop.example.com. Definición completa de subdominio, dominios y direcciones IP protocolo de Internet Reglas básicas de Internet para enviar datos, con direcciones numéricas para cada dispositivo conectado. Definición completa de IP. Tras comprobar la titularidad de los dominios únicos con ayuda del servidor MCP de WhoisXML API, conservaron un subdominio, 12 dominios y 25 direcciones IP, es decir, 38 indicadores en total.
El subdominio se observó por primera vez el 29 de junio de 2026 y por última vez el 21 de julio de 2026. Formaba parte de una oleada de subdominios de inicio de sesión de apariencia similar registrados ese día, que según los investigadores se parecen al phishing de credenciales o a entornos de prueba de paneles de administración falsos. Otros subdominios bajo el mismo dominio principal incluían nombres de alojamiento habituales, que según los investigadores parecen legítimos, junto con varios observados por primera vez el 29 de junio de 2026 que describen como sospechosos.
Los 12 indicadores de dominio se crearon entre el 14 de junio de 2002 y el 8 de octubre de 2022. Uno no tenía registrador Empresa que registra nombres de dominio en el registro por cuenta de sus clientes. Definición completa de registrador en los registro Base de datos y sistema centrales de un dominio de nivel superior o, de forma menos precisa, la organización que los gestiona. Definición completa de registro, mientras que los otros 11 estaban administrados por nueve registradores. Diez tenían países de titular Persona u organización a cuyo nombre está registrado un nombre de dominio. Definición completa de titular registrados, repartidos entre seis países. Los datos históricos de DNS mostraron 3.230 resoluciones de dominio a IP a lo largo del tiempo para estos dominios.
Los 25 indicadores de IP se agrupaban en 17 ASN distintos y se geolocalizaron en nueve países, entre ellos Estados Unidos. Los administraban cuatro proveedores de servicios de internet. Una muestra de datos de tráfico de red mostró 81 direcciones IP únicas, posiblemente propiedad de víctimas, que se comunicaron con 18 de los indicadores IP. Los registros históricos mostraron 1.012 resoluciones de IP a dominio para 22 de los indicadores IP.
La investigación ofrece una visión detallada de cómo se construyó la infraestructura de la campaña y cómo se reutilizó durante varios años.