Layanan Phishing BigBear Berhasil Melewati MFA Microsoft 365 di 258 Organisasi

Sebuah layanan phishing-as-a-service (PhaaS) bernama BigBear 2.0 telah digunakan untuk melewati sistem multi-factor authentication (MFA) di sedikitnya 258 organisasi dan mencuri lebih dari 5.000 kredensial Microsoft 365.

Temuan tersebut diungkap oleh peneliti perusahaan cybersecurity CloudSEK setelah mereka berhasil memperoleh akses administrator ke panel kontrol BigBear. Dari panel tersebut, peneliti menemukan 42 VPS yang seluruhnya dikonfigurasi untuk menargetkan layanan Microsoft 365.

BigBear Menggunakan Teknik Adversary-in-the-Middle

BigBear 2.0 menggunakan framework Evilginx2 yang memungkinkan pelaku melakukan serangan adversary-in-the-middle (AiTM).

Dalam skenario ini, korban diarahkan ke halaman login phishing yang ditempatkan di antara korban dan infrastruktur autentikasi Microsoft yang sebenarnya. Ketika korban memasukkan username dan password, informasi tersebut dapat dicegat oleh attacker.

Yang lebih berbahaya, mekanisme tersebut juga memungkinkan BigBear menangkap informasi autentikasi setelah korban menyelesaikan proses MFA.

BigBear menggunakan konfigurasi bernama “offy” untuk membangun proxy man-in-the-middle antara korban dan infrastruktur autentikasi Microsoft yang sah.

Dengan cara ini, attacker dapat menangkap kredensial, termasuk hasil autentikasi MFA, serta session cookie yang kemudian dapat digunakan kembali untuk mengambil alih sesi login korban.

Lebih dari 5.000 Data Autentikasi Dicuri

CloudSEK menemukan bahwa panel BigBear telah mengekstrak 5.137 catatan kredensial selama operasi yang diamati.

Data tersebut terdiri dari:

• 474 autentikasi lengkap yang berhasil melewati MFA
• 1.032 password dalam bentuk plaintext
• 4.148 session cookie
• Aktivitas dari 3.331 IP korban unik
• Korban tersebar di lebih dari 40 negara

Operasi tersebut juga masih aktif ketika penelitian dilakukan.

CloudSEK menemukan bahwa panel BigBear merupakan layanan multi-user yang disewakan kepada setidaknya lima operator afiliasi. Para operator tersebut menerima kredensial curian secara real-time melalui bot Telegram untuk melakukan aktivitas lanjutan terhadap akun korban.

Dalam dataset target yang lebih luas, terdapat 461 organisasi yang menjadi sasaran. Namun, CloudSEK mengklarifikasi bahwa 258 organisasi berbeda diketahui memiliki setidaknya satu akun yang berhasil dikompromikan setelah proses MFA berhasil dilewati.

Menargetkan Microsoft 365

Microsoft 365 merupakan ekosistem cloud yang mencakup berbagai layanan produktivitas dan identitas, seperti Exchange Online, Teams, SharePoint, OneDrive, dan Entra ID.

Ketika attacker berhasil mengambil alih sesi Microsoft 365 yang telah terautentikasi, dampaknya dapat jauh lebih luas dibandingkan sekadar pencurian username dan password.

Session yang berhasil dibajak berpotensi memberikan akses ke email, file, maupun aplikasi lain yang terhubung melalui mekanisme single sign-on (SSO).

Karena itu, pencurian session cookie menjadi salah satu bagian paling berbahaya dari serangan AiTM. Korban dapat menyelesaikan MFA secara normal, tetapi session yang sudah terautentikasi kemudian dicuri dan digunakan attacker.

BigBear Berusaha Melemahkan FIDO2 dan WebAuthn

CloudSEK juga menemukan bahwa BigBear menggunakan JavaScript khusus untuk mengganggu mekanisme autentikasi FIDO2/WebAuthn.

Kode tersebut dapat menonaktifkan fungsi browser yang mendukung metode autentikasi tersebut, dengan tujuan memaksa korban menggunakan metode autentikasi yang dianggap lebih lemah.

Hal ini menunjukkan bahwa operator BigBear tidak hanya mengandalkan halaman login palsu, tetapi juga berusaha mengarahkan korban ke metode autentikasi yang lebih mudah diserang melalui phishing.

Autentikasi berbasis FIDO2/WebAuthn dirancang untuk memberikan perlindungan yang lebih kuat terhadap phishing karena kredensial kriptografis terikat pada domain layanan yang sah.

Residential Proxy Membantu Menghindari Deteksi

BigBear juga menggunakan residential proxy yang disesuaikan dengan lokasi korban.

Platform tersebut memiliki proxy yang mencakup 69 negara dan berusaha mencocokkan lokasi korban dengan alamat IP residential yang sesuai.

Tujuannya adalah membuat aktivitas login terlihat lebih normal bagi sistem autentikasi Microsoft.

Dengan menggunakan alamat IP yang secara geografis sesuai dengan lokasi korban, attacker dapat mengurangi kemungkinan aktivitas mencurigakan terdeteksi hanya berdasarkan perubahan lokasi atau karakteristik jaringan.

Teknik ini menunjukkan bahwa layanan PhaaS modern semakin mengandalkan berbagai lapisan untuk meningkatkan tingkat keberhasilan serangan, mulai dari phishing, pencurian session cookie, hingga penyamaran lokasi jaringan.

Panel BigBear Masih Online

CloudSEK telah memberi tahu penegak hukum dan sejumlah organisasi yang terdampak mengenai temuan tersebut. Kredensial yang ditemukan juga disertakan dalam laporan responsible disclosure kepada pihak terkait.

Saat penelitian dilakukan, panel administrasi BigBear masih online, meskipun infrastruktur phishing yang digunakan oleh layanan tersebut telah offline selama hampir tiga minggu.

Belum diketahui apakah infrastruktur tersebut akan kembali digunakan atau apakah operator akan memindahkan operasi ke infrastruktur baru.

Organisasi Diminta Mencabut Sesi dan Token

Organisasi yang kemungkinan menjadi target aktivitas BigBear disarankan segera mengambil sejumlah langkah mitigasi.

Password yang terekspos perlu diubah, sementara active session dan token yang masih berlaku harus dicabut untuk mencegah attacker terus menggunakan kredensial autentikasi yang telah dicuri.

Organisasi juga disarankan memaksa pengguna dengan hak akses tinggi untuk melakukan autentikasi ulang.

Selain itu, CloudSEK merekomendasikan penerapan FIDO2/WebAuthn yang tahan terhadap phishing serta Conditional Access yang mewajibkan penggunaan perangkat terkelola.

Organisasi sebaiknya tidak hanya mengandalkan sinyal lokasi atau geo-location untuk menentukan apakah sebuah login aman, karena teknik seperti residential proxy dapat digunakan attacker untuk membuat aktivitas berbahaya terlihat berasal dari lokasi yang sesuai dengan korban.

Kasus BigBear menunjukkan bahwa MFA tidak selalu cukup untuk menghentikan phishing modern. Jika metode autentikasi masih dapat diserang melalui AiTM dan session cookie berhasil dicuri, attacker dapat mengambil alih sesi yang sudah melewati MFA.

Karena itu, perlindungan tambahan seperti phishing-resistant authentication, Conditional Access, device compliance, serta pemantauan session menjadi semakin penting bagi organisasi yang menggunakan Microsoft 365.

Sumber: CloudSEK