研究人员追踪针对40多个国家微软365用户的“BigBear 2.0”网络钓鱼工具包
通俗解读
黑客运行了一个骗局工具包，诱使人们交出工作邮箱的登录信息。安全公司CloudSEK发现了它，影响到40多个国家的群体。一家域名数据公司随后检查了骗局所用的网址和网络编号。
详细摘要
CloudSEK的安全研究人员发现了一项针对Microsoft 365账户的全球性网络钓鱼 冒充可信方窃取数据，常借助仿冒域名。 完整定义（网络钓鱼）即服务行动。该团伙被其命名为“BigBear 2.0”，已袭击40多个国家的数百家机构。调查揭示了攻击者的管理面板、附属网络、钓鱼基础设施，以及数千条被窃取的凭证和会话Cookie。研究人员表示，该案例显示所谓AiTM攻击即使在用户开启多因素身份验证的情况下，仍可接管会话。
WhoisXML API是一家提供域名 由以点分隔的标签组成、便于阅读的互联网名称。 完整定义（域名）研究、WHOIS 传统的域名注册数据查询服务，在通用顶级域中现已被RDAP取代。 完整定义（WHOIS）和DNS 域名系统 将域名与计算机地址关联起来的互联网目录。 完整定义（DNS）数据的服务商，随后分析了与该行动相关的网络指标。研究人员最初掌握48项指标，包括一个子域名 在已注册域名下创建的名称，如shop.example.com。 完整定义（子域名）、若干域名和IP 互联网协议 互联网发送数据的基本规则，为每台联网设备分配数字地址。 完整定义（IP）地址。在借助WhoisXML API MCP Server核查独立域名的归属后，他们保留了1个子域名、12个域名和25个IP地址，共计38项指标。
该子域名于2026年6月29日首次被发现，2026年7月21日最后一次被看到。它属于当日注册的一批仿冒登录风格子域名，研究人员称其类似凭证网络钓鱼或伪造管理面板的测试环境。同一顶级域名下的其他子域名包括常见托管名称，研究人员认为这些看似合法，另有几个于2026年6月29日首次出现的子域名被其描述为可疑。
12个域名指标的创建时间介于2002年6月14日至2022年10月8日之间。其中一个没有可查的注册服务机构 代客户向注册管理机构注册域名的公司。 完整定义（注册服务机构），其余11个由9家注册服务机构管理。有10个记录了注册人 持有域名注册的个人或组织。 完整定义（注册人）所在国家，分布于6个国家。历史DNS数据显示，这些域名共有3,230次域名到IP的解析记录。
25个IP指标分属17个不同的ASN，地理定位于包括美国在内的9个国家，由4家互联网服务提供商管理。样本网络流量数据显示，有81个可能属于受害者的唯一IP地址，与其中18个IP指标有过通信。历史记录显示，其中22个IP指标共有1,012次IP到域名的解析。
该研究详细展示了这一行动的基础设施如何搭建，并在数年间被重复使用。