Burlar MFA no Microsoft 365 deixou de ser apenas uma questão de roubo de senhas. Uma investigação da CloudSEK revelou o BigBear 2.0, uma operação de Phishing-as-a-Service (PhaaS) criada para atingir contas do Microsoft 365 e sequestrar sessões autenticadas mesmo quando a vítima utiliza autenticação multifator.
O caso chama atenção porque combina Adversary-in-the-Middle (AiTM), infraestrutura baseada em Evilginx2, manipulação de mecanismos de autenticação como FIDO2/WebAuthn e proxies residenciais. Segundo a investigação, a campanha atingiu 461 organizações, acumulou 5.137 registros roubados e utilizou uma infraestrutura que chegou a 42 nós VPS.
O problema é particularmente relevante para empresas que dependem do Microsoft 365 e Microsoft Entra ID. Quando uma sessão autenticada é roubada, o invasor pode obter acesso utilizando credenciais e tokens legítimos, tornando a simples exigência de MFA insuficiente contra determinados tipos de phishing avançado.
O que é o BigBear 2.0 e como funciona o PhaaS
O BigBear 2.0 é descrito pela CloudSEK como uma operação de Phishing-as-a-Service, ou seja, uma infraestrutura que permite que diferentes operadores criminosos utilizem recursos já preparados para realizar campanhas de phishing.
A investigação identificou um painel administrativo utilizado para controlar a operação e uma rede de afiliados coordenada por meio do Telegram. O modelo reduz a barreira técnica para criminosos que desejam atacar organizações sem precisar desenvolver toda a infraestrutura por conta própria.
Durante a investigação, pesquisadores identificaram 42 nós VPS associados à operação. Parte dessa infraestrutura foi posteriormente removida pelos operadores, comportamento que sugere esforços de evasão e contra-forense após a descoberta.
O painel também estava associado ao chamado phishlet “offy”, direcionado especificamente para o ecossistema Microsoft 365. A infraestrutura incluía mecanismos de exfiltração em tempo real e automação para trabalhar com informações obtidas durante os ataques.
Esse modelo demonstra uma mudança importante no cenário de ameaças: em vez de simplesmente enviar uma página falsa para roubar uma senha, criminosos estão oferecendo uma espécie de serviço completo de comprometimento de identidade.
Como o ataque AiTM consegue burlar MFA no Microsoft 365
O elemento central da campanha é o Adversary-in-the-Middle (AiTM).
Nesse modelo, o usuário acredita estar acessando normalmente uma página legítima de autenticação. Entretanto, entre o navegador e o serviço verdadeiro existe uma infraestrutura controlada pelo atacante.
A vítima fornece suas informações ao fluxo de autenticação e o intermediário repassa as solicitações ao serviço legítimo. Dessa maneira, o criminoso consegue observar determinados elementos da autenticação e, principalmente, obter informações que podem permitir o sequestro da sessão autenticada.
Estruturas como o Evilginx2 são conhecidas por facilitar esse tipo de intermediação. No caso do BigBear 2.0, a CloudSEK identificou uma infraestrutura baseada nessa tecnologia para capturar credenciais e cookies de sessão.
O ponto crítico é que a MFA pode ter sido realmente concluída. O problema é que o atacante está tentando roubar a sessão já autenticada, e não necessariamente quebrar matematicamente o segundo fator.
Por isso, dizer que o criminoso simplesmente “desativa a MFA” pode ser enganoso. O ataque procura contornar o modelo de autenticação tradicional, aproveitando uma sessão que o serviço já considera válida.
A manipulação do FIDO2 e o uso de proxies residenciais
Um dos aspectos mais preocupantes do BigBear 2.0 é a tentativa de interferir no fluxo de autenticação FIDO2/WebAuthn.
Segundo a CloudSEK, o kit utiliza injeções JavaScript personalizadas para interferir no comportamento de autenticação do navegador. O objetivo é fazer com que mecanismos mais fortes de autenticação sejam contornados ou que o usuário seja conduzido para uma alternativa de autenticação mais vulnerável ao phishing.
Isso não significa que o FIDO2 tenha sido quebrado. A diferença é importante.
A autenticação resistente a phishing depende justamente da associação criptográfica entre a credencial e o domínio legítimo. A estratégia observada no BigBear 2.0 procura manipular o fluxo de autenticação e a escolha do método, explorando situações em que mecanismos alternativos ainda estão disponíveis.
A própria Microsoft recomenda métodos resistentes a phishing, incluindo chaves FIDO2, passkeys, Windows Hello para Empresas e autenticação baseada em certificado, como opções mais seguras para o Microsoft Entra ID.
Outro componente utilizado pela operação são os proxies residenciais.
Em vez de concentrar todo o tráfego em endereços IP típicos de datacenters, os criminosos podem utilizar endereços associados a redes residenciais. Isso pode dificultar determinados mecanismos automatizados de detecção baseados em reputação de IP, localização e características da infraestrutura.
No caso analisado pela CloudSEK, os proxies também eram utilizados para realizar correspondência geográfica com as vítimas e contornar mecanismos de detecção automatizada.
O impacto do BigBear 2.0 mostra a escala do problema
Os números encontrados pela CloudSEK ajudam a dimensionar a operação.
A investigação registrou:
- 5.137 registros de credenciais e dados relacionados;
- 1.032 senhas em texto simples;
- 4.148 cookies de sessão;
- 474 autenticações completas com bypass de MFA;
- 461 organizações afetadas;
- mais de 3.300 endereços IP de vítimas;
- infraestrutura composta por 42 nós VPS;
- vítimas distribuídas por mais de 40 países.
A distribuição internacional reforça que não se trata de uma campanha limitada a um único mercado.
Entre os países mais observados na investigação aparecem Índia, França, Arábia Saudita, Nova Zelândia e Alemanha, mostrando que o serviço possui capacidade de atingir organizações globalmente.
Outro detalhe importante é o uso do Telegram como canal operacional. A CloudSEK identificou pelo menos cinco operadores afiliados utilizando o painel e recebendo informações roubadas por meio de bots.
Isso transforma o phishing em um serviço comercializado em escala. O criminoso interessado não precisa necessariamente dominar toda a cadeia técnica: ele pode utilizar a infraestrutura fornecida pelo operador do PhaaS.
Como proteger seu ambiente e evitar burlar MFA no Microsoft 365
A primeira medida para organizações que suspeitam de comprometimento é tratar o incidente como roubo de identidade, e não apenas como uma tentativa de phishing.
Revogue sessões e tokens suspeitos
Se uma conta foi comprometida, alterar somente a senha pode não ser suficiente.
A equipe responsável deve avaliar a necessidade de revogar sessões, tokens e credenciais comprometidas, além de redefinir senhas e investigar atividades recentes da conta.
Também é importante verificar alterações em regras de e-mail, aplicativos autorizados, métodos de autenticação, dispositivos registrados e outras configurações que possam ter sido modificadas após o comprometimento.
Adote MFA resistente a phishing
A melhor defesa contra ataques AiTM é reduzir a dependência de métodos de autenticação que podem ser intermediados por páginas falsas.
A Microsoft classifica FIDO2, passkeys, Windows Hello para Empresas e autenticação baseada em certificado entre os mecanismos resistentes a phishing disponíveis no Microsoft Entra ID.
Para ambientes corporativos, isso significa evoluir de uma estratégia baseada simplesmente em “ter MFA” para uma política que determine qual tipo de MFA pode ser utilizado.
O Microsoft Entra oferece uma política de força de autenticação resistente a phishing, que pode ser aplicada por meio do Acesso Condicional.
Use o Acesso Condicional de forma estratégica
O Acesso Condicional deve ser utilizado para limitar as condições nas quais uma identidade pode acessar recursos corporativos.
Entre as estratégias possíveis estão exigir autenticação resistente a phishing para contas privilegiadas, restringir acesso a dispositivos gerenciados e avaliar sinais relacionados ao dispositivo, localização e risco do acesso.
A Microsoft recomenda especificamente a utilização de MFA resistente a phishing para funções administrativas privilegiadas, justamente porque essas contas representam alvos de alto valor.
Antes de aplicar uma política de forma definitiva, entretanto, é importante utilizar o modo Somente relatório e validar o impacto. Uma configuração incorreta pode bloquear administradores legítimos ou criar exceções perigosas.
Monitore sinais de sequestro de sessão
Equipes de segurança também devem procurar comportamentos incompatíveis com o padrão normal dos usuários.
Mudanças repentinas de localização, acessos incomuns, dispositivos desconhecidos, alterações nos métodos de autenticação e atividades suspeitas após um login legítimo podem indicar que uma sessão foi comprometida.
O objetivo não deve ser apenas identificar uma senha roubada, mas descobrir quando uma identidade legítima passou a ser utilizada por outra pessoa.
O que o BigBear 2.0 ensina sobre a segurança do Microsoft 365
O caso mostra que burlar MFA no Microsoft 365 não significa necessariamente quebrar a tecnologia responsável pelo segundo fator.
O verdadeiro problema está na combinação entre engenharia social, proxies, intermediação da autenticação, roubo de sessão e mecanismos de fallback.
Por isso, organizações que ainda consideram “MFA habilitada” como sinônimo de proteção suficiente precisam revisar essa premissa.
A autenticação resistente a phishing, políticas de Acesso Condicional, dispositivos gerenciados e monitoramento contínuo precisam trabalhar juntos. A própria documentação da Microsoft recomenda métodos resistentes a phishing como parte de uma estratégia moderna de proteção de identidades.
Para administradores, o alerta é direto: verifique agora quais métodos de MFA estão realmente permitidos no seu ambiente Microsoft 365, principalmente para contas administrativas e recursos críticos.
O BigBear 2.0 mostra que o phishing moderno não precisa necessariamente convencer o usuário a entregar apenas sua senha. Em ataques AiTM, o objetivo pode ser capturar uma sessão autenticada, transformando uma autenticação aparentemente bem-sucedida em uma porta de entrada para o ambiente corporativo.
Acompanhar esse tipo de ameaça e revisar continuamente as políticas de identidade deixou de ser uma atividade opcional. É uma parte essencial da defesa de qualquer organização que dependa do Microsoft 365.
