REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
L’analyse de BigBear 2.0 décrit un service de phishing reposant sur Evilginx2 et la réutilisation de cookies de session. Les éléments observés soulignent l’importance des méthodes de connexion autorisées et de la surveillance après authentification.
Déroulement décrit par la source
- Le panneau observé cible Microsoft 365 et utilise une infrastructure de proxy intermédiaire pour intercepter les échanges d’authentification.
- La campagne combine des relais résidentiels, une collecte en temps réel et la réutilisation de cookies pour accéder à des sessions déjà authentifiées.
- La source explique aussi une manipulation du parcours pour conduire la victime vers une méthode d’authentification plus faible ou non résistante au phishing.
Comprendre les mécanismes et les enseignements
- Leçon défensive : le détournement d’un parcours vers une méthode plus faible ne signifie pas que la cryptographie de FIDO2 a été cassée. Il faut vérifier les méthodes effectivement disponibles et les possibilités de repli, pas seulement constater qu’une méthode résistante est inscrite dans une politique.
- Les mesures provenant d’un panneau criminel décrivent la visibilité de l’enquête, avec ses limites et ses catégories. Les enregistrements, cookies et adresses IP peuvent se recouper ; ils ne doivent pas être additionnés pour produire artificiellement un nombre plus élevé de personnes compromises.
Les vérifications défensives utiles
- Réviser les règles de connexion et les méthodes de secours des comptes sensibles. Tester les parcours réellement proposés aux utilisateurs afin de repérer les possibilités de retour vers une méthode moins protectrice, tout en conservant une procédure de récupération maîtrisée.
- En cas d’exposition confirmée, révoquer les sessions concernées et examiner les activités de messagerie, les consentements et les moyens de connexion ajoutés. Une rotation de mot de passe isolée n’est pas une preuve que toute session ou persistance a disparu.
- Surveiller les connexions avec plusieurs signaux : terminal, application, historique et opérations effectuées. Une adresse apparemment proche géographiquement ne suffit pas à valider une connexion ; les exceptions pour utilisateurs itinérants doivent rester explicites et contrôlables.
Portée et limites
Les chiffres et l’activité du panneau sont ceux de la période observée. La manipulation de méthodes de repli décrite par la source n’établit pas un contournement cryptographique de FIDO2/WebAuthn.
Rapport original
Tracking BigBear 2.0 Evilginx2 Phishing Campaign — www.cloudsek.com.