---
id: "2857d0bb-8e75-4fb0-afc4-8d16212ec665"
kind: "link"
title: "Des chercheurs retracent le kit BigBear 2.0 de phishing visant Microsoft 365 dans plus de 40 pays"
language: "fr"
section: "security"
date: "2026-10-19T20:26:13Z"
updated: "2026-10-19T20:26:13Z"
canonical: "https://tldlog.com/fr/l/chercheurs-retracent-kit-bigbear-2-0-phishing-visant/"
origin: "reviewed"
master: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
translations:
  en: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
  es: "https://tldlog.com/es/l/investigadores-rastrean-kit-phishing-bigbear-2-0-contra/"
  de: "https://tldlog.com/de/l/forscher-verfolgen-phishing-kit-bigbear-2-0-microsoft-365/"
  it: "https://tldlog.com/it/l/ricercatori-rintracciano-kit-phishing-bigbear-2-0-contro/"
  pt-BR: "https://tldlog.com/pt/l/pesquisadores-rastreiam-kit-phishing-bigbear-2-0-que-mira/"
  ru: "https://tldlog.com/ru/l/issledovateli-prosledili-fishingovyy-nabor-bigbear-2-0/"
  zh-Hans: "https://tldlog.com/zh/l/zhuizong-bigbear-2-0-wangluo-diaoyu/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries"
  language: "en"
  date: "2026-10-19T16:27:00Z"
---

# Des chercheurs retracent le kit BigBear 2.0 de phishing visant Microsoft 365 dans plus de 40 pays

## en clair

Des pirates ont utilisé une trousse d’arnaque qui poussait les gens à donner leurs identifiants de messagerie professionnelle. La société de sécurité CloudSEK l’a repérée, et elle a touché des groupes dans plus de 40 pays. Une entreprise de données sur les noms de domaine a ensuite vérifié les adresses web et les numéros internet utilisés par l’arnaque.

Des chercheurs de CloudSEK ont mis au jour une opération mondiale de phishing-as-a-service visant les comptes Microsoft 365. Le groupe qu’ils ont baptisé « BigBear 2.0 » a touché des centaines d’organisations dans plus de 40 pays. Leur enquête a révélé le panneau d’administration de l’attaquant, son réseau d’affiliés, son infrastructure de phishing ainsi que des milliers d’identifiants volés et de cookies de session. Selon les chercheurs, ce cas montre comment les attaques dites AiTM peuvent prendre le contrôle de sessions même lorsque les utilisateurs ont activé l’authentification multifacteur.

WhoisXML API, un fournisseur de données de recherche sur les noms de domaine, de WHOIS et de DNS, a ensuite analysé les indicateurs réseau liés à la campagne. Les chercheurs sont partis de 48 indicateurs composés d’un sous-domaine, de noms de domaine et d’adresses IP. Après avoir vérifié la propriété des noms de domaine uniques à l’aide du serveur MCP de WhoisXML API, ils en ont conservé un sous-domaine, 12 noms de domaine et 25 adresses IP, soit 38 indicateurs au total.

Le sous-domaine a été observé pour la première fois le 29 juin 2026 et pour la dernière fois le 21 juillet 2026. Il faisait partie d’une vague de sous-domaines imitant des pages de connexion, enregistrés ce jour-là, que les chercheurs jugent proches d’un phishing d’identifiants ou d’une mise en place de faux panneaux d’administration. Les autres sous-domaines placés sous le même apex de zone portaient des noms d’hébergement courants, qui semblent légitimes selon les chercheurs, ainsi que plusieurs autres observés pour la première fois le 29 juin 2026 et qu’ils décrivent comme suspects.

Les 12 indicateurs de noms de domaine ont été créés entre le 14 juin 2002 et le 8 octobre 2022. Un seul n’avait aucun bureau d’enregistrement connu, tandis que les 11 autres étaient administrés par neuf bureaux d’enregistrement. Dix avaient un pays de titulaire renseigné, répartis entre six pays. Les données historiques du DNS ont fait apparaître 3 230 résolutions de domaine vers IP au fil du temps pour ces noms de domaine.

Les 25 indicateurs IP se répartissent entre 17 ASN distincts et sont géolocalisés dans neuf pays, dont les États-Unis. Ils sont administrés par quatre fournisseurs d’accès à Internet. Des données d’échantillons de trafic réseau ont montré 81 adresses IP uniques, possiblement détenues par des victimes, qui ont communiqué avec 18 des indicateurs IP. Les archives historiques ont relevé 1 012 résolutions IP vers domaine pour 22 des indicateurs IP.

Cette recherche offre une vue détaillée de la manière dont l’infrastructure de la campagne a été construite puis réutilisée pendant plusieurs années.

Source: [circleid.com](https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries)