دسترسی BigBear به زیرساخت فیشینگ مایکروسافت 365
پژوهشگران شرکت امنیت سایبری CloudSEK پس از دستیابی به دسترسی مدیریتی در کنترل پنل این سرویس دریافتند که BigBear در جریان عملیات مورد بررسی، 42 سرور خصوصی مجازی (VPS) را مدیریت می‌کرد که همه آن‌ها برای هدف قرار دادن کاربران مایکروسافت 365 پیکربندی شده بودند.
به گفته پژوهشگران، این کمپین از یک فریم‌ورک (Adversary-in-the-Middle) AiTM مبتنی بر Evilginx2 استفاده می‌کند که با رهگیری رمزهای عبور و کوکی‌های نشست معتبر، به مهاجمان اجازه می‌دهد حتی پس از تکمیل احراز هویت چندعاملی (MFA) توسط قربانی، نشست کاربری او را ربوده و به حساب کاربری دسترسی پیدا کنند.
BigBear برای اجرای این حملات از پیکربندی موسوم به «offy» استفاده می‌کند. این پیکربندی، یک پروکسی AiTM را در مسیر ارتباطی میان قربانی و زیرساخت رسمی احراز هویت مایکروسافت قرار می‌دهد. در نتیجه، مهاجم می‌تواند ارتباط میان قربانی و سرویس احراز هویت مایکروسافت را رهگیری کرده و اطلاعات احراز هویت را دریافت کند.
در این ساختار، مهاجمان می‌توانند اعتبارنامه‌ها، از جمله اطلاعات مربوط به MFA و همچنین کوکی‌های نشست را سرقت کنند. سپس این داده‌ها از طریق یک API مجدداً مورد استفاده قرار می‌گیرند تا مهاجمان بتوانند نشست احراز هویت قربانی را ربوده و به حساب کاربری او دسترسی پیدا کنند.
دامنه حملات BigBear و حجم اطلاعات سرقت‌شده
مایکروسافت 365 یک اکوسیستم ابری برای کار، همکاری و مدیریت هویت است که سرویس‌هایی مانند اکسچنج آنلاین (Exchange Online)، تیمز (Teams)، شیرپوینت (SharePoint) و وان‌درایو (OneDrive) و همچنین زیرساخت احراز هویت انترا آی‌دی (Entra ID) را دربر می‌گیرد.
نفوذ به یک نشست احراز هویت‌شده در این محیط می‌تواند دسترسی مهاجمان به ایمیل‌ها و فایل‌های کاربر را فراهم کند. علاوه بر این، مهاجمان ممکن است از طریق ورود یکپارچه (SSO) به سایر برنامه‌های متصل به این اکوسیستم نیز دسترسی پیدا کنند.
بر اساس یافته‌های CloudSEK، BigBear در این عملیات عملکرد موفقی داشته و مهاجمان با استفاده از آن توانسته‌اند صدها سازمان را هدف قرار داده و هزاران کوکی نشست را سرقت کنند.
بر اساس گزارش CloudSEK، پنل این سرویس تاکنون 5137 رکورد اعتبارنامه را استخراج کرده است. از این تعداد، 474 مورد مربوط به احراز هویت‌هایی است که پس از دور زدن MFA به‌طور کامل انجام شده‌اند، 1,032 مورد شامل رمزهای عبور به‌صورت متن ساده (Plaintext) و 4,148 مورد نیز مربوط به کوکی‌های نشست بوده است. این فعالیت‌ها 3,331 آدرس IP منحصربه‌فرد متعلق به قربانیان در بیش از 40 کشور را دربر گرفته و در زمان تهیه گزارش همچنان ادامه داشته است.
همچنین CloudSEK اعلام کرده است که پنل چندکاربره فیشینگ به‌عنوان سرویس (PhaaS) دست‌کم در اختیار پنج همکار عملیاتی قرار داشته است. این همکاران عملیاتی از طریق بات‌های استخراج اطلاعات فعال در تلگرام، اعتبارنامه‌های سرقت‌شده را به‌صورت لحظه‌ای دریافت می‌کردند.
اگرچه فهرست اهداف این عملیات در مجموع شامل 461 سازمان بوده است، اما CloudSEK تأکید می‌کند که 258 سازمان به‌طور مشخص، دست‌کم یک بار با نفوذ موفق پس از دور زدن احراز هویت چندعاملی (MFA) مواجه شده‌اند.
تضعیف FIDO2 و پنهان‌سازی موقعیت مهاجم
پژوهشگران CloudSEK دریافتند که BigBear از کدهای سفارشی جاوااسکریپت (JavaScript) برای ایجاد اختلال در فرآیند احراز هویت FIDO2/WebAuthn استفاده می‌کند. این کد با غیرفعال کردن قابلیت‌های مرورگر برای پشتیبانی از FIDO2/WebAuthn، کاربران را به استفاده از روش‌های احراز هویت ضعیف‌تر وادار می‌کند. این اقدام می‌تواند شانس موفقیت حملات فیشینگ را افزایش دهد و اثربخشی روش‌های مقاوم در برابر فیشینگ را کاهش دهد.
برای افزایش اثربخشی حملات، این پلتفرم از پروکسی‌های خانگی (Residential Proxy) متناسب با موقعیت جغرافیایی قربانیان در 69 کشور نیز استفاده می‌کند. در این روش، ترافیک مهاجم از طریق یک آدرس IP خانگی متناسب با موقعیت جغرافیایی قربانی هدایت می‌شود تا فعالیت مهاجم از نظر موقعیت مکانی غیرعادی به نظر نرسد.
این سازوکار باعث می‌شود درخواست‌های احراز هویت از موقعیتی مشابه محل حضور قربانی ارسال شوند و در نتیجه، احتمال شناسایی فعالیت مهاجم به‌عنوان فعالیتی مشکوک توسط سرورهای احراز هویت مایکروسافت 365 کاهش پیدا کند.
اقدامات امنیتی برای حفاظت از مایکروسافت 365
CloudSEK اعلام کرده است که موضوع را به مراجع قانونی و چند سازمان تحت تأثیر این عملیات اطلاع داده و اعتبارنامه‌های افشاشده را نیز در قالب گزارش‌های افشای مسئولانه در اختیار سازمان‌های مربوط قرار داده است.
در زمان تهیه گزارش، کنترل پنل مدیریتی BigBear همچنان آنلاین بود؛ با این حال، زیرساخت فیشینگ این سرویس نزدیک به سه هفته بود که از دسترس خارج شده بود.
سازمان‌هایی که احتمال می‌دهند هدف فعالیت BigBear قرار گرفته باشند، برای جلوگیری از سوءاستفاده از حساب‌های مایکروسافت 365 در معرض نفوذ، باید اقدامات زیر را انجام دهند:
- تغییر رمزهای عبور افشاشده
- لغو نشست‌های فعال
- صدور مجدد توکن‌های دسترسی (Refresh Tokens)
- وادار کردن حساب‌های دارای سطح دسترسی بالا به انجام احراز هویت مجدد
- فعال‌سازی روش‌های احراز هویت FIDO2/WebAuthn مقاوم در برابر فیشینگ
- اعمال سیاست‌های دسترسی مشروط برای محدود کردن دسترسی به دستگاه‌های مدیریت‌شده
- عدم اتکا به موقعیت جغرافیایی به‌عنوان معیار اصلی برای شناسایی فعالیت‌های مشکوک
این موارد نشان می‌دهد که مقابله با حملاتی مانند BigBear صرفاً با فعال‌سازی احراز هویت چندعاملی (MFA) امکان‌پذیر نیست. سازمان‌ها باید در کنار MFA از روش‌های احراز هویت مقاوم در برابر فیشینگ و سیاست‌های دقیق‌تر کنترل دسترسی استفاده کنند تا احتمال سوءاستفاده از حساب‌های کاربری کاهش یابد.
