A maioria dos kits de phishing ainda falha no momento em que um alvo tem a autenticação multifator ativada. O BigBear 2.0 não falha. Pesquisadores da equipe TRIAD da CloudSEK encontraram o painel de controle do operador e conseguiram acesso direto a ele, e o que viram foi uma operação de roubo de credenciais do Microsoft 365 construída especificamente para sobreviver ao MFA, em uma escala que já havia comprometido 258 organizações quando o relatório se tornou público.
Entrando no Próprio Painel do Operador
O BigBear 2.0 é um kit de intermediário adversário (AiTM) baseado em Evilginx2, uma versão renomeada de uma ferramenta anterior vendida sob o mesmo nome. O Evilginx2 funciona como um proxy reverso: a vítima clica em um link, cai em uma página que espelha o fluxo real de login da Microsoft pixel a pixel, e cada campo que ela digita, senha e código de uso único incluídos, passa pelo servidor do atacante a caminho dos servidores reais da Microsoft. A Microsoft emite uma sessão real, e o proxy captura o cookie de sessão junto com ela. Os pesquisadores da CloudSEK descobriram que o BigBear roda um único phishlet, construído exclusivamente para o Microsoft 365, e rastrearam a operação em 42 nós VPS ao longo da campanha, a maioria hospedados na Vultr. Dentro do próprio painel estavam os números da operação: 5.137 registros de credenciais roubadas, 1.032 deles ainda em texto simples, 4.148 cookies de sessão capturados, e 474 autenticações pós-MFA concluídas e registradas contra 3.331 endereços IP de vítimas distintos.
Três Adições Que Fazem a Diferença
O Evilginx2 padrão já derrota o MFA básico ao retransmitir o código em tempo real. Os operadores do BigBear acrescentaram três injeções personalizadas voltadas especificamente para as defesas que as organizações adicionam depois de achar que o MFA já resolveu o problema. Uma bloqueia a solicitação de chaves de hardware FIDO2 e WebAuthn, forçando o fluxo de login a recorrer a um método mais fácil de phishing, como um código por SMS ou uma notificação de aplicativo autenticador. Outra suprime os sinais de telemetria e tokens-isca que a Microsoft usa para detectar que um login está passando por um proxy em vez de um navegador real. A terceira marca automaticamente “manter-me conectado”, o que estende o tempo que um cookie de sessão roubado permanece válido antes de precisar ser renovado. Nenhuma dessas é um exploit de dia zero exótico. São edições pequenas e deliberadas voltadas exatamente para os controles que uma equipe de segurança apontaria como prova de que seu programa de MFA é sólido.
Igualando a Localização Real da Vítima
O kit roteia as tentativas de login por proxies residenciais geolocalizados em 69 países, escolhendo um IP de saída próximo à vítima real antes que as credenciais cheguem à Microsoft. As verificações de viagem impossível e de reputação de IP são feitas para detectar um login que aparece de um data center do outro lado do mundo segundos após a última sessão real do usuário. Quando o tráfego do atacante parece vir da própria cidade da vítima, toda essa categoria de detecção não tem nada para sinalizar.
Por Que Isso É uma História de DMARC, Não Só de MFA
Uma senha roubada e um MFA vencido são a manchete, mas a parte que deveria preocupar especificamente um programa de DMARC vem depois. Assim que o operador do BigBear tem um cookie de sessão ativo, ele tem acesso funcional à caixa de entrada real, na própria infraestrutura da Microsoft, sob a identidade real do usuário. O e-mail enviado a partir desse acesso não é falsificado, emprestado, nem roteado por um domínio parecido. Ele sai pelos mesmos servidores, com a mesma chave DKIM, a partir da mesma conta autenticada que a vítima usa todos os dias, e passa SPF, DKIM e DMARC porque cada uma dessas verificações responde com honestidade: sim, essa caixa está autorizada a enviar como esse domínio. Uma mensagem de acompanhamento construída a partir de uma sessão sequestrada também pode cair dentro de uma thread de resposta real e existente com um colega ou fornecedor genuíno, que é exatamente o tipo de contexto que um destinatário usa para decidir que uma mensagem é segura.
O Que Isso Significa Para o Seu Programa
O MFA impede o credential stuffing. Ele não impede um proxy em tempo real que retransmite seu código de MFA para o serviço real no instante em que você o digita. As chaves de hardware fecham essa brecha para um login, mas apenas quando o fluxo de login permite que o dispositivo realmente complete o desafio, que é exatamente o passo que a injeção FIDO2 do BigBear foi criada para bloquear.
Uma caixa de entrada comprometida é uma lacuna cega do DMARC por definição, porque o DMARC nunca foi projetado para detectá-la. O protocolo verifica se um domínio autorizou uma mensagem. Ele não tem como verificar se a pessoa ou o processo por trás de um envio autorizado ainda é aquele em quem sua organização confia.
O roubo de cookies de sessão merece a mesma atenção operacional que o roubo de senhas, e a maioria dos programas de detecção ainda investe pouco nisso. Políticas de acesso condicional que forçam nova autenticação em dispositivos novos, tempos de sessão reduzidos e monitoramento de reutilização de sessão impossível ou anômala fecham lacunas que um DMARC aprovado de forma limpa nunca vai revelar sozinho.
“Manter-me conectado” é um recurso de conveniência com um custo de segurança que a maioria dos usuários, e muitos administradores, nunca pesa de fato. Cada hora que uma sessão permanece válida sem nova autenticação é uma hora em que um cookie roubado continua funcionando.
A Conclusão
O BigBear 2.0 não venceu o DMARC. Ele contornou completamente a pergunta que o DMARC responde, assumindo o controle de uma conta na qual o DMARC já confiava. Duzentas e cinquenta e oito organizações aprenderam que um resultado de autenticação verde em uma mensagem enviada não diz nada sobre se a pessoa que a envia ainda é quem deveria ser. À medida que os kits AiTM continuam adicionando defesas criadas especificamente contra o FIDO2 e a detecção por telemetria, as caixas de entrada que o seu domínio já autenticou merecem ser vigiadas tão de perto quanto as que tentam se passar por você.
O DMARC confirma que uma mensagem foi autorizada a ser enviada como o seu domínio. Ele não consegue dizer quando a conta que está enviando foi silenciosamente tomada por outra pessoa. A Excello Mail te dá visibilidade contínua sobre tudo que envia em nome do seu domínio, para que atividades autenticadas incomuns se destaquem em vez de se perder em meio a relatórios de DMARC aprovados. Cadastre-se gratuitamente na Excello Mail e coloque essa visibilidade em prática antes que um kit AiTM encontre a brecha primeiro.