---
id: "2857d0bb-8e75-4fb0-afc4-8d16212ec665"
kind: "link"
title: "Исследователи проследили фишинговый набор BigBear 2.0, атаковавший пользователей Microsoft 365 в более чем 40 странах"
language: "ru"
section: "security"
date: "2026-10-19T20:26:13Z"
updated: "2026-10-19T20:26:13Z"
canonical: "https://tldlog.com/ru/l/issledovateli-prosledili-fishingovyy-nabor-bigbear-2-0/"
origin: "reviewed"
master: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
translations:
  en: "https://tldlog.com/l/researchers-trace-bigbear-2-0-phishing-kit-targeting/"
  es: "https://tldlog.com/es/l/investigadores-rastrean-kit-phishing-bigbear-2-0-contra/"
  de: "https://tldlog.com/de/l/forscher-verfolgen-phishing-kit-bigbear-2-0-microsoft-365/"
  fr: "https://tldlog.com/fr/l/chercheurs-retracent-kit-bigbear-2-0-phishing-visant/"
  it: "https://tldlog.com/it/l/ricercatori-rintracciano-kit-phishing-bigbear-2-0-contro/"
  pt-BR: "https://tldlog.com/pt/l/pesquisadores-rastreiam-kit-phishing-bigbear-2-0-que-mira/"
  zh-Hans: "https://tldlog.com/zh/l/zhuizong-bigbear-2-0-wangluo-diaoyu/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries"
  language: "en"
  date: "2026-10-19T16:27:00Z"
---

# Исследователи проследили фишинговый набор BigBear 2.0, атаковавший пользователей Microsoft 365 в более чем 40 странах

## простыми словами

Хакеры использовали набор для мошенничества, который обманом выманивал у людей логины от рабочей почты. Компания CloudSEK по безопасности обнаружила его, и он задел организации более чем в 40 странах. Затем компания, которая занимается данными о доменах, проверила веб-адреса и интернет-номера, которые использовало мошенничество.

Исследователи безопасности из CloudSEK обнаружили глобальную операцию «фишинг как услуга», направленную против учетных записей Microsoft 365. Группа, которую они назвали «BigBear 2.0», атаковала сотни организаций более чем в 40 странах. Их расследование выявило административную панель злоумышленников, сеть партнеров, фишинговую инфраструктуру и тысячи украденных учетных данных и сеансовых cookie-файлов. По словам исследователей, этот случай показывает, как так называемые атаки AiTM могут перехватывать сеансы даже тогда, когда у пользователей включена многофакторная аутентификация.

WhoisXML API, поставщик данных для исследования доменов, WHOIS и DNS, затем проанализировала сетевые индикаторы, связанные с кампанией. Исследователи начали с 48 индикаторов, состоявших из одного поддомена, доменов и IP-адресов. После проверки владения уникальными доменами с помощью сервера WhoisXML API MCP они оставили один поддомен, 12 доменов и 25 IP-адресов, всего 38 индикаторов.

Поддомен впервые был зафиксирован 29 июня 2026 года, а в последний раз 21 июля 2026 года. Он был частью всплеска похожих на страницы входа поддоменов, зарегистрированных в тот день, что, по словам исследователей, напоминает фишинг учетных данных или подготовку поддельной административной панели. Другие поддомены под тем же домeном верхнего уровня включали распространенные имена хостинга, которые, по словам исследователей, выглядят законными, а также несколько поддоменов, впервые зафиксированных 29 июня 2026 года, которые они назвали подозрительными.

Доменные индикаторы, всего 12, были созданы в период с 14 июня 2002 года по 8 октября 2022 года. У одного не было регистратора в записях, а остальные 11 администрировали девять регистраторов. Для десяти были указаны страны регистрантов, которые распределялись по шести странам. Исторические данные DNS показали 3 230 преобразований домена в IP-адрес за все время для этих доменов.

25 IP-индикаторов относились к 17 различным ASN и геолокализовались в девяти странах, включая Соединенные Штаты Америки. Их администрировали четыре интернет-провайдера. Образцы сетевого трафика показали 81 уникальный IP-адрес, возможно принадлежавший жертвам, которые взаимодействовали с 18 IP-индикаторами. Исторические записи показали 1 012 преобразований IP-адреса в домен для 22 IP-индикаторов.

Исследование дает подробное представление о том, как инфраструктура кампании создавалась и использовалась повторно на протяжении нескольких лет.

Источник: [circleid.com](https://circleid.com/posts/dns-spotlight-bigbear-2.0-phaas-targets-span-40-countries)