Die von CloudSEK ausgelesenen Zahlen sind detailliert: Laut dem Bericht, der BleepingComputer vorliegt, exfiltrierte das Panel 5.137 Datensätze mit Zugangsdaten, darunter 474 vollständige Anmeldungen mit umgangener MFA, 1.032 Passwörter im Klartext und 4.148 Sitzungs-Cookies. Betroffen waren 3.331 einzelne Opfer-IP-Adressen in mehr als 40 Ländern.
In dem breiteren Zieldatensatz tauchten 461 Organisationen auf. CloudSEK stellt jedoch klar, dass bei 258 unterschiedlichen Organisationen mindestens eine abgeschlossene MFA-Umgehung dokumentiert ist.
BigBear wird als Mehrbenutzer-Plattform vermietet. “Das Mehrbenutzer-PhaaS-Panel ist an mindestens fünf Affiliate-Betreiber verpachtet, die über live betriebene Telegram-Exfiltrationsbots identifiziert wurden und die gestohlenen Zugangsdaten jeweils in Echtzeit erhalten”, schreiben die Forscher.
Die eigentliche Angriffsmechanik läuft über eine Konfiguration mit dem Namen “offy”, die den Man-in-the-Middle-Proxy zwischen Opfer und Microsofts Anmeldeservern aufbaut. Hinzu kommt eigens entwickeltes JavaScript, das die Authentifizierung per FIDO2/WebAuthn stört: Die entsprechende Browserfunktion wird deaktiviert, damit die Zielperson auf schwächere Anmeldeverfahren ausweichen muss.
Um Verdachtsmomente auf Seiten Microsofts zu vermeiden, arbeitet die Plattform mit geografisch passenden Wohn-IP-Proxys für 69 Länder. Die Anmeldeversuche erscheinen dadurch aus der Region des Opfers zu stammen und werden von den Authentifizierungsservern nicht als auffällig eingestuft.
CloudSEK hat nach eigenen Angaben Strafverfolgungsbehörden und mehrere betroffene Organisationen informiert und die erfassten Zugangsdaten in Meldungen im Rahmen einer verantwortungsvollen Offenlegung aufgenommen.
Organisationen, die möglicherweise von BigBear-Aktivitäten betroffen sind, sollten laut CloudSEK offengelegte Passwörter zurücksetzen, aktive Sitzungen widerrufen, Token erneuern und für hochprivilegierte Konten eine erneute Anmeldung erzwingen. Empfohlen wird zudem, phishing-resistente Verfahren nach FIDO2/WebAuthn verbindlich durchzusetzen und Richtlinien für bedingten Zugriff einzusetzen, die verwaltete Geräte voraussetzen, anstatt sich auf Signale zur geografischen Herkunft zu verlassen — genau diese Signale unterläuft BigBear mit seinen Wohn-IP-Proxys.