BigBear บริการ Phishing-as-a-Service สำหรับ Microsoft 365 สามารถเจาะผ่านระบบ MFA ขององค์กรต่าง ๆ ได้ถึง 258 แห่ง

 

นักวิจัยพบการใช้บริการ Phishing-as-a-Service ในชื่อ BigBear 2.0 ในการโจมตีเพื่อ Bypass ระบบ Multi-factor authentication (MFA) ขององค์กรจำนวน 258 แห่ง และขโมยข้อมูลบัญชีผู้ใช้ Microsoft 365 ไปมากกว่า 5,000 รายการ

นักวิจัยจากบริษัทความปลอดภัยไซเบอร์ CloudSEK สามารถเข้าถึง control panel ในระดับ administrator ได้ และพบว่าบริการนี้มีการจัดการ VPS nodes จำนวน 42 nodes ซึ่งทั้งหมดถูกตั้งค่าให้มุ่งเป้าหมายการโจมตีไปที่ Microsoft 365

ข้อมูลจากนักวิจัยระบุว่า แคมเปญนี้ใช้เฟรมเวิร์ก Adversary-in-the-Middle (AiTM) ที่พัฒนาต่อยอดมาจาก Evilginx2 เพื่อดักจับรหัสผ่าน และ session cookies ที่ผ่านการยืนยันตัวตนแล้ว ทำให้ Hacker สามารถเข้ายึดบัญชีได้หลังจากที่เหยื่อดำเนินการยืนยันตัวตนด้วย MFA เสร็จสิ้น

BigBear ใช้การตั้งค่าที่เรียกว่า "offy" เพื่อสร้าง man-in-the-middle (AiTM) proxy คั่นกลางระหว่างเหยื่อกับระบบโครงสร้างพื้นฐานการยืนยันตัวตนที่ถูกต้องของ Microsoft

วิธีนี้ช่วยให้ Hacker สามารถดักจับข้อมูล Credentials (รวมถึงข้อมูล MFA) และ session cookies แล้วนำข้อมูลเหล่านั้นไปส่งต่อผ่าน API เพื่อเข้ายึด authentication session ของเหยื่อได้

Microsoft 365 คือระบบการจัดการ identity บนคลาวด์ของ Microsoft ซึ่งรวมบริการต่าง ๆ เช่น Exchange Online, Teams, SharePoint, OneDrive และระบบยืนยันตัวตน Entra ID ไว้ด้วยกัน

การที่ Microsoft 365 session ที่ผ่านการยืนยันตัวตนแล้วถูกเจาะ อาจทำให้ข้อมูลอีเมล และไฟล์ต่าง ๆ รั่วไหล อีกทั้งยังอาจเปิดช่องทางให้ Hacker เข้าถึงแอปพลิเคชันอื่น ๆ ที่เชื่อมต่อผ่านระบบ Single Sign-On (SSO) ได้อีกด้วย

CloudSEK ระบุว่า BigBear ประสบความสำเร็จในการโจมตี สามารถเจาะระบบองค์กรหลายร้อยแห่ง และขโมย session cookies ได้เป็นจำนวนหลายพันรายการ

CloudSEK ระบุในรายงานที่แชร์กับ BleepingComputer ว่า "control panel ดังกล่าวได้ขโมยข้อมูลบัญชีผู้ใช้ไปแล้ว 5,137 รายการ ซึ่งรวมถึงข้อมูลการยืนยันตัวตนที่เจาะผ่าน MFA ได้สำเร็จ 474 รายการ, รหัสผ่านแบบ plaintext 1,032 รายการ และ session cookies 4,148 รายการ โดยส่งผลกระทบต่อ IP ของเหยื่อจำนวน 3,331 รายการในกว่า 40 ประเทศ และยังคงดำเนินการโจมตีอยู่ในปัจจุบัน"

"PhaaS panel แบบรองรับผู้ใช้หลายคนนี้ถูกปล่อยเช่าให้กับ Hacker ที่เป็นเครือข่าย (affiliate operators) อย่างน้อย 5 ราย ซึ่งระบุตัวตนได้ผ่านบอท Telegram ที่ใช้ส่งข้อมูลที่ขโมยมาแบบเรียลไทม์ โดย Hacker แต่ละรายจะได้รับข้อมูลบัญชีที่ถูกขโมยมาทันทีที่เกิดการโจมตี"

แม้ว่าจะมีองค์กรปรากฏอยู่ในชุดข้อมูลเป้าหมายถึง 461 แห่ง แต่ CloudSEK ระบุชัดเจนว่ามีองค์กรที่แตกต่างกันจำนวน 258 แห่งที่ถูกโจมตีจนสำเร็จโดยสามารถ Bypass ระบบ MFA ได้อย่างน้อยหนึ่งครั้ง

CloudSEK ยังพบว่า BigBear ใช้ custom JavaScript เพื่อรบกวนกระบวนการยืนยันตัวตนแบบ FIDO2/WebAuthn โดยปิดใช้งานฟังก์ชันของเบราว์เซอร์ที่รองรับระบบดังกล่าว เพื่อบังคับให้เป้าหมายหันไปใช้วิธีการยืนยันตัวตนที่มีความปลอดภัยต่ำกว่าแทน

เพื่อเพิ่มประสิทธิภาพ แพลตฟอร์มนี้ใช้ geo-matched residential proxy ที่ตรงกับตำแหน่งทางภูมิศาสตร์สำหรับ 69 ประเทศ โดยจับคู่ตำแหน่งของเหยื่อกับที่อยู่ IP ที่อยู่อาศัย เพื่อให้เซิร์ฟเวอร์ authentication ของ Microsoft ไม่ระบุการกระทำดังกล่าวว่าน่าสงสัย

CloudSEK ระบุว่า ได้แจ้งหน่วยงานบังคับใช้กฎหมาย และองค์กรที่ได้รับผลกระทบหลายแห่งแล้ว และได้รวมข้อมูล credentials ไว้ในรายงานการเปิดเผยข้อมูล

 

ขณะที่เขียนบทความนี้ control panel ยังคงออนไลน์อยู่ ในขณะที่โครงสร้างพื้นฐานของ phishing ได้ถูกปิดใช้งานมาเกือบสามสัปดาห์แล้ว

องค์กรที่อาจได้รับผลกระทบจากกิจกรรมของ BigBear ควรทำการรีเซ็ตรหัสผ่านที่ถูกเปิดเผย, ยกเลิก session ที่ใช้งานอยู่, refresh tokens และบังคับให้มีการ authentication ใหม่สำหรับบัญชีที่มีสิทธิ์สูง

นอกจากนี้ ยังควรบังคับใช้ FIDO2/WebAuthn ที่ป้องกันการ phishing  และใช้ Conditional Access policy แบบมีเงื่อนไขที่กำหนดให้ต้องใช้อุปกรณ์ที่มีการบริหารจัดการ (managed devices) แทนที่จะพึ่งพาการระบุ geo-location

ที่มา : bleepingcomputer