BigBear 2.0 aggira l’MFA di Microsoft 365 e compromette 258 organizzazioni

🛡️ Executive Summary

• BigBear 2.0 usa un proxy AiTM basato su Evilginx2 per intercettare password e cookie di sessione Microsoft 365 dopo l’MFA.
• CloudSEK ha contato 258 organizzazioni con almeno un bypass MFA completato, 42 VPS e 5.137 record di autenticazione esfiltrati.
• FIDO2, WebAuthn, device trust, Token Protection e revoca delle sessioni riducono il rischio di replay dei token rubati.

Un nuovo Phishing-as-a-Service specializzato contro Microsoft 365 ha trasformato il furto delle sessioni autenticate in un’infrastruttura condivisa tra più operatori. BigBear 2.0 utilizza un proxy Adversary-in-the-Middle, AiTM, costruito attorno a Evilginx2, per collocarsi tra la vittima e l’autenticazione legittima Microsoft, catturando password e cookie dopo il completamento dell’MFA. CloudSEK ha ottenuto accesso amministrativo al pannello della piattaforma e ricostruito un’operazione distribuita su 42 VPS, con almeno 258 organizzazioni nelle quali è stato osservato un bypass MFA completato. Il dato conferma l’industrializzazione di una tecnica che non viola crittograficamente il secondo fattore: ne intercetta il risultato.

BigBear 2.0 ha raccolto 5.137 record di autenticazione

L’accesso ottenuto dai ricercatori al pannello di amministrazione ha permesso di osservare direttamente dimensioni e struttura dell’operazione. Secondo il report di CloudSEK condiviso con BleepingComputer, BigBear 2.0 gestiva 42 nodi VPS, tutti configurati per campagne contro Microsoft 365. Il database conteneva 5.137 record di autenticazione, tra cui 474 autenticazioni complete con MFA superata, 1.032 password in chiaro e 4.148 cookie di sessione. I ricercatori hanno inoltre contato 3.331 indirizzi IP unici riferibili alle vittime in oltre 40 Paesi, ma questo numero non deve essere interpretato automaticamente come altrettanti utenti o account distinti. La stessa cautela vale per le aziende: 461 organizzazioni comparivano nel dataset complessivo di targeting, mentre CloudSEK attribuisce a 258 organizzazioni differenti almeno una compromissione nella quale il bypass MFA risulta completato. La distinzione tra bersaglio, visita alla pagina fraudolenta e accesso riuscito è essenziale per non trasformare la telemetria della piattaforma in un conteggio artificiosamente gonfiato delle vittime.

Evilginx2 intercetta la sessione invece di violare il secondo fattore

La configurazione utilizzata da BigBear, denominata “offy”, implementa un reverse proxy tra il browser della vittima e l’infrastruttura autentica di Microsoft. Il meccanismo deriva dalla stessa logica del progetto Evilginx2: l’utente raggiunge un dominio controllato dall’attaccante che riproduce l’esperienza di accesso, mentre le richieste vengono inoltrate in tempo reale al vero servizio. Microsoft riceve quindi credenziali e fattori MFA corretti, autentica l’utente e restituisce i cookie necessari alla sessione; il proxy, trovandosi nel mezzo, può intercettarli prima di consegnare la pagina alla vittima. Una volta importato il cookie in una sessione controllata dall’operatore, l’aggressore può tentare di accedere a Exchange Online, SharePoint, OneDrive, Teams e alle altre applicazioni collegate all’identità compromessa senza dover necessariamente ripetere subito password e secondo fattore. È lo stesso principio tecnico emerso nelle reti Evilginx individuate nel luglio 2026 mentre aggiravano l’MFA attraverso il furto dei token: l’MFA funziona, ma l’attaccante prova a impossessarsi della prova di autenticazione già rilasciata.

Leggi anche: Microsoft 365 sotto attacco tra AiTM, frodi payroll e abuso di Windows Hello

BigBear prova a degradare FIDO2 e nasconde gli accessi con proxy residenziali

Uno degli elementi più significativi individuati da CloudSEK riguarda il trattamento dell’autenticazione FIDO2/WebAuthn. BigBear incorpora JavaScript progettato per interferire con le funzionalità del browser legate a questi meccanismi, cercando di spingere la vittima verso metodi di autenticazione più facilmente intercettabili. Non significa che BigBear riesca a clonare una passkey FIDO2: l’obiettivo è effettuare un downgrade del flusso di autenticazione quando il tenant permette ancora SMS, OTP, notifiche push o altri metodi alternativi. La piattaforma aggiunge inoltre proxy residenziali geograficamente abbinati in 69 Paesi, facendo provenire la sessione dell’attaccante da un indirizzo IP compatibile con la posizione della vittima. Questo riduce l’efficacia delle policy che trattano la geolocalizzazione come segnale principale di rischio e spiega perché il controllo del solo IP non sia sufficiente. Un precedente particolarmente significativo è il tentativo di ShinyHunters contro ReliaQuest, dove password e MFA erano state consegnate ma il device trust ha impedito alla sessione proveniente da un endpoint non gestito di raggiungere i dati aziendali. BigBear porta la stessa questione su scala PhaaS: l’identità autenticata non può più essere considerata da sola una prova sufficiente di affidabilità.

Cinque affiliati mostrano il modello industriale del phishing AiTM

Il pannello BigBear non appare progettato per un singolo gruppo. CloudSEK ha identificato almeno cinque operatori affiliati attraverso bot Telegram utilizzati per ricevere in tempo reale le informazioni esfiltrate. L’architettura multiutente separa quindi chi sviluppa e mantiene il framework da chi acquista o utilizza l’accesso, prepara le campagne e monetizza gli account compromessi. È il modello già consolidato dal ransomware-as-a-service applicato al furto delle identità cloud: l’operatore non deve più costruire reverse proxy, pannello amministrativo, infrastruttura VPS, gestione delle sessioni e sistemi di esfiltrazione, perché queste componenti vengono fornite come servizio. La stessa trasformazione era emersa con Tycoon2FA, il servizio AiTM colpito da Microsoft ed Europol dopo una diffusione su larga scala. BigBear mostra però anche quanto rapidamente l’offerta criminale possa ricostituirsi: al momento dell’analisi l’infrastruttura utilizzata direttamente per il phishing risultava offline da quasi tre settimane, mentre il pannello amministrativo era ancora raggiungibile. CloudSEK ha dichiarato di avere informato le forze dell’ordine e diverse organizzazioni interessate, condividendo anche credenziali compromesse attraverso procedure di responsible disclosure.

Continua con:

• NovaCookies ruba sessioni Microsoft 365: il phishing AiTM costa 320 dollari
• Kali365 e Greatness industrializzano il furto degli account Microsoft 365

Revocare le sessioni conta quanto cambiare la password

La risposta a una compromissione BigBear non può fermarsi al reset della password. Se l’attaccante possiede già cookie o token validi, l’organizzazione deve intervenire sull’intera sessione: Microsoft indica nella propria procedura di revoca dell’accesso in Microsoft Entra ID il blocco dei nuovi accessi, la revoca delle sessioni e dei refresh token e, nei casi necessari, la disabilitazione temporanea dell’account. Per gli account amministrativi e ad alto privilegio diventa inoltre decisivo ridurre i metodi autenticativi suscettibili di relay e imporre un livello phishing-resistant. Le authentication strengths di Microsoft Entra consentono di richiedere FIDO2, credenziali di piattaforma come Windows Hello for Business o autenticazione basata su certificato, mentre Conditional Access, dispositivi gestiti e controlli sulla sessione aggiungono condizioni che un semplice cookie rubato può non soddisfare. Microsoft considera inoltre la Token Protection uno strumento di defense in depth contro il replay, perché lega i token supportati al dispositivo per il quale sono stati emessi. BigBear 2.0 dimostra quindi il limite dell’equazione “MFA attiva uguale account protetto”: contro il phishing AiTM la difesa efficace deve legare identità, autenticatore, token, dispositivo e contesto della sessione, rendendo insufficiente il possesso di una singola prova sottratta all’utente.