Por Canuto  

Una operación de phishing como servicio vinculada a BigBear acumuló miles de credenciales y cookies de sesión de Microsoft 365, incluidas autenticaciones con MFA aparentemente completas. El acceso al panel de los atacantes permitió observar cómo la campaña utiliza Evilginx2, proxies residenciales y bots de Telegram para convertir cuentas empresariales en mercancía criminal.
***

  • 5.137 registros fueron hallados en el panel de administración de BigBear, vinculados con 461 organizaciones.
  • 4.148 cookies de sesión y 1.032 contraseñas en texto plano quedaron expuestas en la operación investigada.
  • 474 registros correspondían a sesiones autenticadas con MFA que podían permitir el acceso sin una nueva verificación.

Una operación de phishing dirigida contra usuarios de Microsoft 365 acumuló miles de contraseñas y cookies de sesión, según investigadores que lograron acceder al panel de administración de los ciberdelincuentes. El hallazgo ofrece una mirada poco habitual sobre una campaña activa, porque no solo muestra las páginas falsas utilizadas contra las víctimas, sino también el inventario de accesos que los operadores podían entregar a otros delincuentes.

La investigación identificó 5.137 registros asociados con 461 organizaciones, entre ellos 1.032 contraseñas almacenadas en texto plano y 4.148 cookies de sesión. De ese conjunto, 474 registros fueron clasificados como autenticaciones completas con la autenticación multifactor, o MFA, eludida, una condición que puede permitir el secuestro de sesiones de Microsoft 365 mientras los tokens continúen vigentes.

Una operación con acceso directo al botín

CloudSEK informó que sus investigadores accedieron al panel utilizado por BigBear 2.0, una modalidad de phishing como servicio basada en Evilginx2. Este tipo de plataforma permite que distintos operadores alquilen infraestructura preparada, lancen campañas contra objetivos específicos y reciban las credenciales capturadas sin tener que desarrollar desde cero todos los componentes técnicos.

El panel tenía una plantilla predeterminada conocida como offy, configurada para interceptar los procesos de autenticación de Microsoft 365. La operación seguía activa durante el análisis, por lo que los datos observados no correspondían únicamente a una campaña cerrada o a un incidente reconstruido después de que los atacantes abandonaran sus servidores.

La infraestructura funcionaba como un panel multiusuario y estaba alquilada al menos a cinco operadores afiliados, quienes recibían las credenciales robadas en tiempo real mediante bots separados de Telegram. Durante la vida de la campaña se observaron 42 nodos de servidores privados virtuales, aunque 26 ya habían sido retirados del panel desde finales de julio y solo uno permanecía activo cuando se realizó la revisión.

Los investigadores atribuyeron la administración de la operación a una persona que utiliza el alias General Boss, pero no vincularon BigBear con un grupo estatal conocido. La hipótesis presentada apunta a un incentivo económico: vender los accesos, utilizarlos para fraudes corporativos o aprovecharlos como punto de entrada para nuevas intrusiones.

Cómo el ataque supera una sesión con MFA

Evilginx2 actúa como un intermediario entre la víctima y el servicio legítimo de inicio de sesión de Microsoft. Cuando la persona entra en uno de los sitios falsos, observa un flujo que imita la página real, mientras el servidor del atacante transmite sus credenciales y los desafíos de MFA al servicio de Microsoft en segundo plano.

El mecanismo no necesita romper directamente los controles de seguridad de Microsoft ni adivinar el código de verificación. Después de que la víctima completa la autenticación, Microsoft devuelve una cookie de sesión que pasa nuevamente por la infraestructura del atacante, y esa cookie puede reproducir una sesión ya validada hasta que el token expire o la organización lo revoque.

El riesgo aumenta porque una cuenta comprometida no se limita necesariamente al buzón de correo. Según los permisos asignados, el acceso puede exponer calendarios, conversaciones de Teams, documentos de SharePoint y archivos de OneDrive, además de ofrecer una posible ruta hacia Entra ID, servicios de nube y aplicaciones SaaS federadas.

El investigador de seguridad Gagan Aggarwal señaló que las modificaciones de BigBear van más allá de una instalación estándar de Evilginx2. Entre los elementos detectados figuraba JavaScript diseñado para deshabilitar la autenticación FIDO2 y WebAuthn en la página falsa, con el objetivo de empujar a las víctimas hacia SMS, notificaciones push o códigos TOTP, métodos que continúan siendo vulnerables a este tipo de proxy.

El papel de los proxies y las defensas recomendadas

BigBear también utilizaba una red de proxies residenciales con cobertura en 69 países. Si una víctima se encontraba en India, por ejemplo, el inicio de sesión hacia Microsoft podía salir a Internet desde una dirección residencial india, una táctica que reduce las señales geográficas que normalmente podrían alertar a los sistemas de detección.

La operación incorporaba además controles para bloquear visitantes procedentes de centros de datos, redes privadas virtuales y otros proxies. Ese filtro dificulta el trabajo de escáneres automatizados, investigadores y herramientas de seguridad que intentan examinar las páginas de phishing sin utilizar una conexión residencial con características similares a las de una víctima.

Una cuenta empresarial secuestrada puede servir para fraude de correo corporativo, phishing interno, robo de información y movimiento lateral dentro de una organización. También puede convertirse en un producto para otros grupos criminales, especialmente cuando la cuenta conserva permisos sobre recursos compartidos, servicios de nube o aplicaciones conectadas a la identidad corporativa.

CloudSEK recomendó adoptar autenticación resistente al phishing mediante FIDO2 o WebAuthn, junto con políticas de acceso condicional y exigencias de dispositivos conformes. Ante una posible intrusión, las organizaciones también deberían revocar los tokens de sesión y de actualización comprometidos, porque cambiar una contraseña por sí solo podría no invalidar una sesión que el atacante ya capturó.

El caso muestra que la autenticación multifactor reduce numerosos ataques, pero no elimina el riesgo cuando el usuario es engañado dentro de un flujo de inicio de sesión proxificado. La diferencia práctica está en combinar el MFA con métodos resistentes al phishing, controles de dispositivo y una respuesta capaz de invalidar rápidamente las sesiones robadas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados