BigBear 2.0 แฮกเกอร์สายพันธุ์โหด ทะลวง MFA ขย้ำ Microsoft 365 พังยับ 258 องค์กรทั่วโลก!

แฮกเกอร์ใช้เฟรมเวิร์กหลอกลวงขโมยข้อมูล (PhaaS) ชื่อ BigBear 2.0 ในการเจาะระบบเพื่อข้ามการยืนยันตัวตนแบบหลายปัจจัย (MFA) ของ Microsoft 365 โดยส่งผลกระทบต่อองค์กรอย่างน้อย 258 แห่งทั่วโลก และขโมยข้อมูลระบุตัวตนไปได้มากกว่า 5,000 รายการ บริษัทด้านความปลอดภัยไซเบอร์ CloudSEK สามารถเข้าถึงแผงควบคุมระบบของแฮกเกอร์ได้ และพบว่ามีการใช้โหนด VPS 42 แห่งในการยิงการโจมตีไปยัง Microsoft 365 โดยเฉพาะ

รูปแบบการทำงานของ BigBear 2.0 ดำเนินการผ่านระบบพร็อกซีที่ชื่อ “offy” ซึ่งพัฒนาต่อยอดมาจาก Evilginx2 โดยคอยแทรกตัวเป็นคนกลาง (AiTM) อยู่ระหว่างเหยื่อกับระบบของ Microsoft เพื่อดักจับรหัสผ่าน MFA และเซสชันคุกกี้ จากนั้นจึงส่งข้อมูลสวมรอยผ่าน API เพื่อเข้าควบคุมบัญชี CloudSEK ระบุว่าแผงควบคุมนี้ถูกปล่อยเช่าให้ผู้ร่วมขบวนการ 5 ราย ซึ่งคอยรับข้อมูลที่ขโมยมาได้แบบเรียลไทม์ผ่านบอต Telegram

นอกจากนี้ BigBear ยังใช้กลวิธีขั้นสูงเพื่อหลบเลี่ยงการตรวจจับ ด้วยการรัน JavaScript แบบพิเศษบนเบราว์เซอร์ของเหยื่อเพื่อปิดการทำงานของระบบ FIDO2/WebAuthn ซึ่งเป็นวิธีที่ปลอดภัยสูง เพื่อบีบให้เหยื่อต้องกลับไปใช้วิธีการยืนยันตัวตนแบบเดิมที่เจาะง่ายกว่า พร้อมทั้งใช้ พร็อกซีที่พักอาศัย (Residential Proxies) ครอบคลุม 69 ประเทศ ในการปลอมแปลง IP address ให้ตรงกับตำแหน่งของเหยื่อ เพื่อไม่ให้ระบบความปลอดภัยของ Microsoft สงสัย

ความเสียหายจากการดักจับเซสชันที่ผ่านการยืนยันตัวตนแล้ว ส่งผลให้ข้อมูลอีเมล ไฟล์ในระบบ และแอปพลิเคชันอื่นๆ ที่เชื่อมต่อผ่านระบบลงชื่อเข้าใช้เดียว (SSO) ตกอยู่ในความเสี่ยงทันที แม้ว่าโครงสร้างพื้นฐานในการทำ Phishing จะเริ่มออฟไลน์ไปแล้ว แต่แผงควบคุมหลักของผู้ดูแลระบบยังคงเปิดใช้งานอยู่ โดยทาง CloudSEK ได้แจ้งเตือนไปยังหน่วยงานบังคับใช้กฎหมายและองค์กรที่ได้รับผลกระทบเรียบร้อยแล้ว

สำหรับแนวทางป้องกัน องค์กรที่สงสัยว่าตกเป็นเป้าหมายควรรีเซ็ตรหัสผ่าน ยกเลิกเซสชันการใช้งานทั้งหมดที่ค้างอยู่ และบังคับให้บัญชีระดับผู้ดูแลระบบยืนยันตัวตนใหม่ทันที พร้อมทั้งบังคับใช้การยืนยันตัวตน FIDO2/WebAuthn ที่ทนทานต่อการ Phishing และปรับใช้นโยบายการเข้าถึงแบบมีเงื่อนไข (Conditional Access) ที่อนุญาตเฉพาะอุปกรณ์ที่ได้รับการควบคุมดูแล (Managed Devices) เท่านั้น