---
id: "2857d0bb-8e75-4fb0-afc4-8d16212ec665"
kind: "link"
title: "Pesquisadores rastreiam kit de phishing BigBear 2.0 que mira usuários do Microsoft 365 em mais de 40 países"
language: "pt-BR"
section: "security"
date: "2026-10-19T20:26:13Z"
updated: "2026-10-19T20:26:13Z"
canonical: "https://tldlog.com/pt/l/pesquisadores-rastreiam-kit-phishing-bigbear-2-0-que-mira/"
origin: "automatic"
master: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
translations:
  en: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
  es: "https://tldlog.com/es/l/investigadores-rastrean-kit-phishing-bigbear-2-0-contra/"
  de: "https://tldlog.com/de/l/forscher-verfolgen-phishing-kit-bigbear-2-0-microsoft-365/"
  fr: "https://tldlog.com/fr/l/chercheurs-retracent-kit-bigbear-2-0-phishing-visant/"
  it: "https://tldlog.com/it/l/ricercatori-rintracciano-kit-phishing-bigbear-2-0-contro/"
  ru: "https://tldlog.com/ru/l/issledovateli-prosledili-fishingovyy-nabor-bigbear-2-0/"
  zh-Hans: "https://tldlog.com/zh/l/zhuizong-bigbear-2-0-wangluo-diaoyu/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries"
  language: "en"
  date: "2026-10-19T16:27:00Z"
---

# Pesquisadores rastreiam kit de phishing BigBear 2.0 que mira usuários do Microsoft 365 em mais de 40 países

## em linguagem simples

Criminosos usaram um kit de golpe que enganava pessoas para que entregassem seus logins de e-mail do trabalho. A empresa de segurança CloudSEK encontrou o golpe, que atingiu grupos em mais de 40 países. Depois, uma empresa de dados de domínios verificou os endereços web e os números de internet usados no golpe.

Pesquisadores de segurança da CloudSEK descobriram uma operação global de phishing como serviço voltada a contas do Microsoft 365. O grupo que eles batizaram de “BigBear 2.0” atingiu centenas de organizações em mais de 40 países. A investigação expôs o painel de administração do atacante, a rede de afiliados, a infraestrutura de phishing e milhares de credenciais e cookies de sessão roubados. Segundo os pesquisadores, o caso mostra como os chamados ataques AiTM conseguem assumir sessões mesmo quando os usuários têm a autenticação multifator ativada.

A WhoisXML API, provedora de dados de pesquisa de domínios, WHOIS e DNS, analisou em seguida os indicadores de rede ligados à campanha. Os pesquisadores partiram de 48 indicadores, formados por um subdomínio, domínios e endereços IP. Após verificar a titularidade dos domínios únicos com a ajuda do WhoisXML API MCP Server, eles mantiveram um subdomínio, 12 domínios e 25 endereços IP, totalizando 38 indicadores.

O subdomínio foi visto pela primeira vez em 29 de junho de 2026 e pela última vez em 21 de julho de 2026. Ele fazia parte de uma leva de subdomínios com aparência de login registrados naquele dia, que, segundo os pesquisadores, se parece com phishing de credenciais ou com encenação de painéis de administração falsos. Outros subdomínios do mesmo domínio apex incluíam nomes comuns de hospedagem, que, segundo os pesquisadores, parecem legítimos, além de vários que apareceram pela primeira vez em 29 de junho de 2026 e que eles descrevem como suspeitos.

Os 12 indicadores de domínio foram criados entre 14 de junho de 2002 e 8 de outubro de 2022. Um não tinha registrador informado, enquanto os outros 11 eram administrados por nove registradores. Dez tinham países de titulares informados, distribuídos em seis países. Os dados históricos de DNS mostraram 3.230 resoluções de domínio para IP ao longo do tempo para esses domínios.

Os 25 indicadores de IP se distribuíam por 17 ASNs distintos e foram geolocalizados em nove países, entre eles os Estados Unidos. Eles eram administrados por quatro provedores de serviço de internet. Dados de amostras de tráfego de rede mostraram 81 endereços IP únicos, possivelmente de propriedade de vítimas, que se comunicaram com 18 dos indicadores de IP. Registros históricos mostraram 1.012 resoluções de IP para domínio em 22 dos indicadores de IP.

A pesquisa oferece uma visão detalhada de como a infraestrutura da campanha foi montada e reutilizada ao longo de vários anos.

Fonte: [circleid.com](https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries)