Des chercheurs retracent le kit BigBear 2.0 de phishing visant Microsoft 365 dans plus de 40 pays
en clair
Des pirates ont utilisé une trousse d’arnaque qui poussait les gens à donner leurs identifiants de messagerie professionnelle. La société de sécurité CloudSEK l’a repérée, et elle a touché des groupes dans plus de 40 pays. Une entreprise de données sur les noms de domaine a ensuite vérifié les adresses web et les numéros internet utilisés par l’arnaque.
Résumé complet
Des chercheurs de CloudSEK ont mis au jour une opération mondiale de phishing-as-a-service visant les comptes Microsoft 365. Le groupe qu’ils ont baptisé « BigBear 2.0 » a touché des centaines d’organisations dans plus de 40 pays. Leur enquête a révélé le panneau d’administration de l’attaquant, son réseau d’affiliés, son infrastructure de phishing Usurpation de l'identité d'un tiers de confiance pour voler des données, souvent avec des domaines ressemblants. Définition complète du terme phishing ainsi que des milliers d’identifiants volés et de cookies de session. Selon les chercheurs, ce cas montre comment les attaques dites AiTM peuvent prendre le contrôle de sessions même lorsque les utilisateurs ont activé l’authentification multifacteur.
WhoisXML API, un fournisseur de données de recherche sur les nom de domaine Nom lisible sur Internet, composé de libellés séparés par des points. Définition complète du terme nom de domaine, de WHOIS Ancien service de consultation des données d'enregistrement des domaines, désormais remplacé par RDAP pour les gTLD. Définition complète du terme WHOIS et de DNS système de noms de domaine L'annuaire d'Internet qui relie les noms de domaine aux adresses des ordinateurs. Définition complète du terme DNS, a ensuite analysé les indicateurs réseau liés à la campagne. Les chercheurs sont partis de 48 indicateurs composés d’un sous-domaine Nom créé sous un domaine enregistré, comme shop.example.com. Définition complète du terme sous-domaine, de noms de domaine et d’adresses IP protocole Internet Règles de base d'Internet pour l'envoi de données, avec une adresse numérique pour chaque appareil connecté. Définition complète du terme IP. Après avoir vérifié la propriété des noms de domaine uniques à l’aide du serveur MCP de WhoisXML API, ils en ont conservé un sous-domaine, 12 noms de domaine et 25 adresses IP, soit 38 indicateurs au total.
Le sous-domaine a été observé pour la première fois le 29 juin 2026 et pour la dernière fois le 21 juillet 2026. Il faisait partie d’une vague de sous-domaines imitant des pages de connexion, enregistrés ce jour-là, que les chercheurs jugent proches d’un phishing d’identifiants ou d’une mise en place de faux panneaux d’administration. Les autres sous-domaines placés sous le même apex de zone Nom nu situé au sommet d'une zone DNS, comme example.com. Définition complète du terme apex de zone portaient des noms d’hébergement courants, qui semblent légitimes selon les chercheurs, ainsi que plusieurs autres observés pour la première fois le 29 juin 2026 et qu’ils décrivent comme suspects.
Les 12 indicateurs de noms de domaine ont été créés entre le 14 juin 2002 et le 8 octobre 2022. Un seul n’avait aucun bureau d’enregistrement connu, tandis que les 11 autres étaient administrés par neuf bureaux d’enregistrement. Dix avaient un pays de titulaire Personne ou organisation qui détient l'enregistrement d'un nom de domaine. Définition complète du terme titulaire renseigné, répartis entre six pays. Les données historiques du DNS ont fait apparaître 3 230 résolutions de domaine vers IP au fil du temps pour ces noms de domaine.
Les 25 indicateurs IP se répartissent entre 17 ASN distincts et sont géolocalisés dans neuf pays, dont les États-Unis. Ils sont administrés par quatre fournisseurs d’accès à Internet. Des données d’échantillons de trafic réseau ont montré 81 adresses IP uniques, possiblement détenues par des victimes, qui ont communiqué avec 18 des indicateurs IP. Les archives historiques ont relevé 1 012 résolutions IP vers domaine pour 22 des indicateurs IP.
Cette recherche offre une vue détaillée de la manière dont l’infrastructure de la campagne a été construite puis réutilisée pendant plusieurs années.