Ricercatori rintracciano il kit di phishing BigBear 2.0 contro utenti di Microsoft 365 in oltre 40 Paesi
in parole semplici
Degli hacker hanno usato un kit di truffa che induceva le persone a consegnare le credenziali della posta di lavoro. La società di sicurezza CloudSEK l'ha individuato e ha colpito gruppi in più di 40 Paesi. Una società di dati sui domini ha poi verificato gli indirizzi web e i numeri IP usati dalla truffa.
Sintesi completa
I ricercatori di sicurezza di CloudSEK hanno scoperto un'operazione globale di phishing-as-a-service rivolta agli account Microsoft 365. Il gruppo, che hanno battezzato «BigBear 2.0», ha colpito centinaia di organizzazioni in più di 40 Paesi. La loro indagine ha esposto il panel di amministrazione dell'attaccante, la rete di affiliati, l'infrastruttura di phishing Fingersi un soggetto affidabile per rubare dati, spesso con domini simili a quelli autentici. Definizione completa del termine phishing e migliaia di credenziali rubate e cookie di sessione. I ricercatori affermano che il caso mostra come i cosiddetti attacchi AiTM possano impossessarsi delle sessioni anche quando gli utenti hanno attivato l'autenticazione a più fattori.
WhoisXML API, fornitore di dati di ricerca sui domini, WHOIS Il vecchio servizio di consultazione dei dati di registrazione dei domini, sostituito da RDAP per i gTLD. Definizione completa del termine WHOIS e DNS sistema dei nomi a dominio L'elenco di internet che collega i nomi a dominio agli indirizzi dei computer. Definizione completa del termine DNS, ha poi analizzato gli indicatori di rete legati alla campagna. I ricercatori sono partiti da 48 indicatori composti da un sottodominio Un nome creato sotto un dominio registrato, come shop.example.com. Definizione completa del termine sottodominio, domini e indirizzi IP protocollo internet Le regole di base di internet per inviare dati, con indirizzi numerici per ogni dispositivo connesso. Definizione completa del termine IP. Dopo aver verificato la titolarità dei domini unici con l'aiuto del WhoisXML API MCP Server, ne hanno mantenuti uno di sottodominio, 12 domini e 25 indirizzi IP, per un totale di 38 indicatori.
Il sottodominio è stato visto per la prima volta il 29 giugno 2026 e l'ultima volta il 21 luglio 2026. Faceva parte di una serie di sottodomini simili a pagine di accesso, registrati quello stesso giorno, che secondo i ricercatori somigliano a phishing di credenziali o a una messa in scena di falsi panel di amministrazione. Altri sottodomini sotto lo stesso apex della zona Il nome senza prefisso in cima a una zona DNS, come example.com. Definizione completa del termine apex della zona includevano nomi di hosting comuni, che secondo i ricercatori sembrano legittimi, insieme a diversi visti per la prima volta il 29 giugno 2026 e da loro descritti come sospetti.
I 12 indicatori di dominio sono stati creati tra il 14 giugno 2002 e l'8 ottobre 2022. Uno non aveva alcun registrar Un'azienda che registra nomi a dominio presso il registro per conto dei clienti. Definizione completa del termine registrar registrato, mentre gli altri 11 erano amministrati da nove registrar. Dieci avevano paesi dell'assegnatario La persona o l'organizzazione che detiene la registrazione di un nome a dominio. Definizione completa del termine assegnatario registrati, distribuiti su sei Paesi. I dati storici DNS mostravano 3.230 risoluzioni da dominio a IP nel tempo per questi domini.
I 25 indicatori IP ricadevano sotto 17 ASN distinti e sono stati geolocalizzati in nove Paesi, tra cui gli Stati Uniti. Erano amministrati da quattro fornitori di servizi internet. I dati campione sul traffico di rete mostravano 81 indirizzi IP unici, probabilmente di proprietà delle vittime, che comunicavano con 18 degli indicatori IP. I registro La banca dati e il sistema centrali di un dominio di primo livello o, in senso lato, l'organizzazione che li gestisce. Definizione completa del termine registro storici mostravano 1.012 risoluzioni da IP a dominio per 22 degli indicatori IP.
La ricerca offre una visione dettagliata di come l'infrastruttura della campagna sia stata costruita e riutilizzata per diversi anni.