// CLUBIC — CYBERSECURITY
Ce kit de phishing contourne la double authentification de Microsoft 365 et piège des centaines d’entreprises
BigBear 2.0 a permis de compromettre des comptes Microsoft 365 protégés par la double authentification dans de nombreuses organisations. Le kit ne casse pourtant pas la MFA : il attend que la victime la valide, puis vole la session ouverte par Microsoft.
BigBear 2.0 aura laissé pas mal de traces derrière lui. En juin dernier, les équipes de sécurité de CloudSEK sont parvenues à accéder au panneau d’administration de ce service de phishing, utilisé pour piloter les campagnes et centraliser les données volées. Elles y ont découvert 42 serveurs virtuels, au moins cinq cybercriminels exploitant la plateforme et une activité répartie dans une quarantaine de pays. Au total, 258 organisations ont vu au moins un compte Microsoft 365 compromis malgré la double authentification.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Dans le détail, l’analyse du kit menée par CloudSEK révèle que BigBear 2.0 repose sur Evilginx2, un outil utilisé pour mener des attaques de phishing Adversary-in-the-Middle, ou AiTM. La page affichée imite le portail officiel, mais relaie la connexion vers le service sollicité.
Les cybercriminels peuvent ainsi récupérer l’adresse mail et le mot de passe au moment où ils sont saisis, les transmettre à Microsoft, puis laisser la procédure se poursuivre jusqu’au second facteur. La victime entre son code temporaire, approuve une notification ou renseigne le code reçu par SMS, puis Microsoft valide normalement la connexion.
Le kit récupère alors ce qu’il était venu chercher : les cookies de session renvoyés par les serveurs de Microsoft après l’authentification, jetons qui attestent que l’internaute a déjà franchi les étapes requises pour accéder au compte, MFA comprise, et permettent à l’attaquant d’ouvrir la session sans avoir à prouver de nouveau son identité.
Au total, CloudSEK a recensé 5 137 enregistrements liés à des authentifications Microsoft 365 compromises, dont 463 pour la France, deuxième pays le plus touché derrière l’Inde. Ces données, associées à 3 331 adresses IP de victimes dans plus de 40 pays, comprennent notamment 1 032 mots de passe en clair, 4 148 cookies de session et 474 connexions ayant abouti malgré la MFA.
Le fait que BigBear 2.0 parvienne à contourner la double authentification ne signifie évidemment pas qu’il faille y renoncer. Il faut toutefois garder à l’esprit que toutes les méthodes ne résistent pas de la même manière aux attaques AiTM. Les codes TOTP, les SMS et les notifications push prouvent que l’internaute détient bien le second facteur requis, mais ne contrôlent pas qu’il se connecte depuis le bon site.
C’est en revanche le cas de FIDO2 et WebAuthn, sur lesquels reposent les clés de sécurité physiques et les passkeys. L’authentification est liée au domaine du service concerné, si bien qu’une demande émanant d’un site de phishing ne peut pas obtenir la même validation cryptographique que celle initiée depuis le portail officiel de Microsoft.
CloudSEK a malgré tout repéré dans BigBear du JavaScript capable de désactiver WebAuthn dans le navigateur, afin de faire échouer cette méthode et d’orienter la victime vers un autre facteur de secours. D’où l’importance, pour les entreprises, de faire sauter les solutions de repli les plus faciles à détourner.