Исследователи проследили фишинговый набор BigBear 2.0, атаковавший пользователей Microsoft 365 в более чем 40 странах
простыми словами
Хакеры использовали набор для мошенничества, который обманом выманивал у людей логины от рабочей почты. Компания CloudSEK по безопасности обнаружила его, и он задел организации более чем в 40 странах. Затем компания, которая занимается данными о доменах, проверила веб-адреса и интернет-номера, которые использовало мошенничество.
Подробное изложение
Исследователи безопасности из CloudSEK обнаружили глобальную операцию «фишинг Выдача себя за доверенную сторону ради кражи данных, часто с помощью похожих доменов. Полное определение термина фишинг как услуга», направленную против учетных записей Microsoft 365. Группа, которую они назвали «BigBear 2.0», атаковала сотни организаций более чем в 40 странах. Их расследование выявило административную панель злоумышленников, сеть партнеров, фишинговую инфраструктуру и тысячи украденных учетных данных и сеансовых cookie-файлов. По словам исследователей, этот случай показывает, как так называемые атаки AiTM могут перехватывать сеансы даже тогда, когда у пользователей включена многофакторная аутентификация.
WhoisXML API, поставщик данных для исследования доменов, WHOIS Устаревший сервис поиска регистрационных данных доменов, который в gTLD заменил RDAP. Полное определение термина WHOIS и DNS система доменных имен Справочник интернета, который связывает доменные имена с адресами компьютеров. Полное определение термина DNS, затем проанализировала сетевые индикаторы, связанные с кампанией. Исследователи начали с 48 индикаторов, состоявших из одного поддомен Имя, созданное под зарегистрированным доменом, например shop.example.com. Полное определение термина поддомен, доменов и IP-адресов. После проверки владения уникальными доменами с помощью сервера WhoisXML API MCP они оставили один поддомен, 12 доменов и 25 IP-адресов, всего 38 индикаторов.
Поддомен впервые был зафиксирован 29 июня 2026 года, а в последний раз 21 июля 2026 года. Он был частью всплеска похожих на страницы входа поддоменов, зарегистрированных в тот день, что, по словам исследователей, напоминает фишинг учетных данных или подготовку поддельной административной панели. Другие поддомены под тем же домeном верхнего уровня включали распространенные имена хостинга, которые, по словам исследователей, выглядят законными, а также несколько поддоменов, впервые зафиксированных 29 июня 2026 года, которые они назвали подозрительными.
Доменные индикаторы, всего 12, были созданы в период с 14 июня 2002 года по 8 октября 2022 года. У одного не было регистратор Компания, которая регистрирует доменные имена в регистратуре для своих клиентов. Полное определение термина регистратор в записях, а остальные 11 администрировали девять регистраторов. Для десяти были указаны страны регистрант Человек или организация, на которых зарегистрировано доменное имя. Полное определение термина регистрант, которые распределялись по шести странам. Исторические данные DNS показали 3 230 преобразований домена в IP межсетевой протокол Базовые правила передачи данных в интернете с числовым адресом для каждого подключенного устройства. Полное определение термина IP за все время для этих доменов.
25 IP-индикаторов относились к 17 различным ASN и геолокализовались в девяти странах, включая Соединенные Штаты Америки. Их администрировали четыре интернет-провайдера. Образцы сетевого трафика показали 81 уникальный IP-адрес, возможно принадлежавший жертвам, которые взаимодействовали с 18 IP-индикаторами. Исторические записи показали 1 012 преобразований IP-адреса в домен для 22 IP-индикаторов.
Исследование дает подробное представление о том, как инфраструктура кампании создавалась и использовалась повторно на протяжении нескольких лет.