BigBear 2.0 : comment ce kit de phishing contourne le MFA de Microsoft 365

L'essor du Phishing-as-a-Service et l'émergence de BigBear 2.0

La cybercriminalité s'est largement professionnalisée avec l'apparition de plateformes de Phishing-as-a-Service (PhaaS). Ces services permettent à des attaquants, même peu expérimentés, de louer des infrastructures de piratage clés en main. Parmi ces outils, la plateforme BigBear 2.0 s'est distinguée par sa spécialisation dans le contournement des protections de la suite collaborative Microsoft.

Selon un rapport d'analyse publié par les chercheurs en sécurité de l'éditeur Sekoia.io, BigBear 2.0 représente une évolution majeure des kits de phishing traditionnels. Contrairement aux versions antérieures qui se contentaient de voler des mots de passe, cette mouture intègre des mécanismes avancés pour intercepter les sessions actives. Cette approche rend obsolètes les méthodes classiques de double authentification.

L'analyse technique montre que cette plateforme a permis de compromettre au moins 258 organisations à travers le monde. Lors de ces campagnes, plus de 5 000 identifiants et jetons de session ont été dérobés par les cybercriminels. Ces chiffres démontrent l'efficacité redoutable de ce kit face aux défenses périmétriques standard des entreprises.

Qu'est-ce que BigBear 2.0 et comment se distingue-t-il des autres PhaaS ?

Pour comprendre la menace, il convient de distinguer BigBear 2.0 des autres plateformes de PhaaS basées sur l'architecture Adversary-in-the-Middle (AiTM). Des outils comme Tycoon, Dadsec ou Evilginx partagent le même objectif de contournement du MFA, mais leurs implémentations techniques diffèrent. BigBear 2.0 se démarque par une automatisation poussée et une interface d'administration simplifiée à l'extrême.

La particularité de BigBear 2.0 réside dans sa capacité à générer dynamiquement des pages de microsoft 365 login hautement personnalisées. Le kit adapte automatiquement le visuel de la page de connexion en fonction de l'adresse e-mail de la victime. Si la cible appartient à une organisation spécifique, le logo et l'arrière-plan de son entreprise sont récupérés en temps réel depuis les serveurs officiels de Microsoft.

De plus, BigBear 2.0 intègre un système de filtrage avancé des connexions entrantes, souvent appelé 'anti-bot'. Ce mécanisme permet de bloquer les requêtes provenant des robots d'indexation des éditeurs de sécurité et des analystes. En masquant ses serveurs proxy derrière des réseaux de distribution de contenu (CDN) légitimes, la plateforme prolonge la durée de vie de ses campagnes de phishing.

Le mécanisme technique de l'attaque Adversary-in-the-Middle (AiTM)

Le fonctionnement d'une attaque AiTM repose sur l'interposition d'un serveur proxy malveillant entre l'utilisateur et le service légitime. Lorsqu'un collaborateur tente d'accéder à sa messagerie via une fausse page de microsoft 365 connexion, il n'interagit pas directement avec Microsoft. Toutes ses requêtes transitent par le serveur contrôlé par l'attaquant.

Le proxy de BigBear 2.0 relaie fidèlement les demandes de l'utilisateur vers le véritable portail d'authentification de Microsoft. Lorsque Microsoft demande la saisie du mot de passe, le proxy affiche le champ correspondant à l'utilisateur. Une fois le mot de passe saisi, le proxy le transmet à Microsoft et récupère la réponse du serveur officiel.

Si le compte ciblé est protégé par une authentification multifacteur (MFA), Microsoft génère un défi de sécurité. Il peut s'agir d'un code à usage unique envoyé par SMS ou d'une notification push sur l'application Microsoft Authenticator. Le proxy de l'attaquant transmet ce défi à l'utilisateur, qui le valide sur son périphérique mobile en toute confiance.

Une fois le défi MFA validé par l'utilisateur, les serveurs de Microsoft valident la connexion et génèrent un cookie de session. C'est ce cookie, contenant le jeton d'authentification, qui est intercepté par le kit BigBear 2.0 avant d'atteindre le navigateur de la victime. Le pirate dispose alors d'un accès complet au compte, sans avoir besoin de connaître le mot de passe ni de valider à nouveau le MFA.

Pourquoi la page de "microsoft 365 login" est-elle la cible prioritaire ?

La suite Microsoft 365 centralise la quasi-totalité des flux d'information des entreprises : courriels, documents partagés sur SharePoint, conversations Teams et annuaires internes. Accéder à un compte utilisateur au sein de cet écosystème offre aux attaquants un levier d'action considérable. C'est pourquoi la page de microsoft 365 login est la cible privilégiée des campagnes de PhaaS.

Les attaquants exploitent également la crédulité de certains utilisateurs à la recherche de solutions logicielles économiques. Les requêtes associées à microsoft 365 gratuit sont fréquemment ciblées par des campagnes de malvertising ou d'optimisation des moteurs de recherche (SEO) malveillante. Les victimes, pensant télécharger une version d'évaluation ou une licence promotionnelle, sont redirigées vers les portails de phishing de BigBear 2.0.

Une fois le jeton de session dérobé, les cybercriminels peuvent mener des attaques de type Business Email Compromise (BEC). Ils surveillent les échanges de courriels, interceptent les factures en attente de règlement et modifient les coordonnées bancaires. Cette méthode de fraude s'avère particulièrement dévastatrice pour la trésorerie des organisations touchées.

Comment détecter une compromission de session Microsoft 365 ?

La détection d'une attaque par contournement de MFA est complexe car la connexion de l'attaquant utilise un jeton de session valide. Pour le système de sécurité de Microsoft, la session semble parfaitement légitime. Cependant, plusieurs indicateurs de compromission (IoC) permettent d'identifier les accès frauduleux dans les journaux d'audit.

Les administrateurs doivent surveiller attentivement les journaux de connexion dans Microsoft Entra ID. Une attention particulière doit être portée aux connexions affichant des adresses IP inhabituelles ou des changements rapides de localisation géographique (impossible travel). Par exemple, une session ouverte depuis la France suivie d'une activité dix minutes plus tard depuis un autre pays doit immédiatement alerter.

Il est également recommandé d'analyser les agents utilisateurs (User-Agent) déclarés lors des connexions. Les proxies utilisés par BigBear 2.0 peuvent parfois laisser des traces ou présenter des incohérences avec les navigateurs habituellement utilisés par les collaborateurs. L'examen régulier des règles de boîte de réception créées récemment est aussi un excellent moyen de détecter une présence malveillante.

Guide pratique : auditer les méthodes d'authentification avec PowerShell

Pour vérifier l'état de sécurité des comptes de votre organisation, il est possible d'automatiser l'audit des méthodes d'authentification actives. L'utilisation de l'interface en ligne de commande PowerShell permet d'extraire rapidement ces données pour l'ensemble des utilisateurs. Cela permet d'identifier les comptes vulnérables qui n'utilisent pas de MFA résistant au phishing.

Le script ci-dessous utilise le module officiel Microsoft.Graph pour interroger l'API de Microsoft et exporter les résultats dans un fichier exploitable. Avant d'exécuter ces commandes, assurez-vous de disposer des privilèges d'administrateur général ou d'administrateur de la sécurité sur votre tenant Microsoft 365.

Connect-MgGraph -Scopes 'User.Read.All', 'AuthenticationMethod.Read.All'
Get-MgUser -All | ForEach-Object {
    $userId = $_.Id
    $authMethods = Get-MgUserAuthenticationMethod -UserId $userId
    [PSCustomObject]@{
        DisplayName = $_.DisplayName
        UserPrincipalName = $_.UserPrincipalName
        AuthMethods = ($authMethods.MethodType -join ', ')
    }
} | Export-Csv -Path 'C:/SecurityAudit_MFA.csv' -NoTypeInformation

L'analyse du fichier CSV généré permet de repérer immédiatement les comptes qui s'appuient uniquement sur des mots de passe ou des méthodes MFA obsolètes. Les comptes affichant des méthodes comme les SMS ou les codes d'application doivent être prioritairement migrés vers des solutions plus robustes. Pour approfondir ces aspects techniques, vous pouvez consulter les ressources disponibles sur notre blog informatique.

Quelles solutions pour parer les attaques de type AiTM ?

Pour neutraliser l'efficacité des kits de phishing comme BigBear 2.0, les entreprises doivent faire évoluer leurs mécanismes d'authentification. La solution la plus efficace consiste à déployer des méthodes d'authentification résistantes au phishing, basées sur la norme FIDO2. Les clés de sécurité physiques ou les passkeys lient cryptographiquement la session au domaine du site web légitime.

Avec FIDO2, si un utilisateur tente de s'authentifier sur un site proxy géré par BigBear 2.0, l'échange cryptographique échoue. La clé de sécurité détecte que le domaine affiché dans le navigateur ne correspond pas au domaine enregistré pour le service Microsoft 365. Aucune information d'authentification n'est alors transmise, protégeant ainsi le compte de la compromission.

Une autre mesure essentielle consiste à configurer des politiques d'accès conditionnel strictes dans Microsoft Entra ID. Ces règles permettent de restreindre l'accès aux ressources de l'entreprise aux seuls appareils enregistrés et conformes aux politiques de sécurité. Ainsi, même si un attaquant parvient à dérober un jeton de session, il ne pourra pas l'utiliser depuis une machine non autorisée.

Enfin, l'implémentation de la protection de l'identité (Microsoft Entra ID Protection) permet de détecter en temps réel les anomalies de session. Le système peut bloquer automatiquement une connexion ou exiger une réauthentification forte s'il détecte un comportement à haut risque. Pour concevoir et déployer ces architectures de sécurité complexes, l'accompagnement par un prestataire infogérance agen s'avère souvent indispensable pour garantir une transition sans interruption d'activité.

Tableau comparatif des méthodes d'authentification face au phishing AiTM

Toutes les méthodes de double authentification ne se valent pas face aux menaces modernes. Le tableau ci-dessous synthétise le niveau de résistance des différents facteurs d'authentification face à une attaque par proxy inverse comme celle menée par le kit BigBear 2.0.

Ce comparatif met en évidence la nécessité d'abandonner progressivement les méthodes basées sur les codes temporaires au profit de solutions cryptographiques fortes. Bien que le déploiement de clés physiques nécessite une phase d'accompagnement et de configuration, il représente le seul rempart véritablement efficace contre le PhaaS moderne.

L'importance de la sensibilisation des collaborateurs face au phishing par proxy

Au-delà des barrières technologiques, le facteur humain reste un maillon essentiel de la chaîne de sécurité. Les campagnes de phishing orchestrées par BigBear 2.0 s'appuient sur l'ingénierie sociale pour inciter les utilisateurs à cliquer sur des liens malveillants. Former les équipes à reconnaître les signaux d'alerte est donc une priorité absolue pour réduire la surface d'attaque.

Les collaborateurs doivent apprendre à analyser systématiquement les indicateurs visuels de leur navigateur lors de la phase de connexion. L'examen attentif du nom de domaine dans la barre d'adresse est le moyen le plus simple de déceler un proxy malveillant. Si l'adresse ne se termine pas exactement par le domaine officiel de Microsoft, la saisie des identifiants doit être immédiatement interrompue.

L'utilisation systématique de gestionnaires de mots de passe d'entreprise constitue également une excellente parade comportementale. Ces outils associent les identifiants enregistrés à un domaine web précis. Face à une page de phishing générée par BigBear 2.0, le gestionnaire de mots de passe refusera de pré-remplir les champs, alertant ainsi l'utilisateur sur le caractère suspect du site.

Le rôle de l'analyse des risques et de la gouvernance des identités

La sécurisation des accès à Microsoft 365 ne se limite pas à l'activation de fonctionnalités techniques. Elle s'inscrit dans une démarche globale de gouvernance des identités et de gestion des risques. Les organisations doivent cartographier précisément leurs comptes utilisateurs et identifier les profils les plus exposés aux attaques ciblées.

Les comptes disposant de privilèges d'administration (globale, sécurité, messagerie) doivent faire l'objet d'une attention critique. Ces comptes 'à haut privilège' devraient être les premiers à bénéficier d'un déploiement de clés de sécurité physiques FIDO2. De plus, il est recommandé de séparer les tâches administratives des activités quotidiennes comme la lecture des e-mails ou la navigation web.

Enfin, la mise en place d'une politique de revue régulière des accès permet de s'assurer que seuls les collaborateurs actifs disposent de comptes opérationnels. Les comptes obsolètes ou non utilisés représentent des points d'entrée silencieux que les attaquants peuvent exploiter s'ils parviennent à en dérober les identifiants. Une gouvernance stricte limite considérablement la portée d'une éventuelle compromission.

Conclusion : vers une hygiène informatique renforcée

La sophistication de BigBear 2.0 rappelle que la sécurité informatique n'est pas un projet ponctuel, mais une démarche d'amélioration continue. Face à des attaquants capables d'industrialiser le contournement des protections, la vigilance humaine doit être soutenue par des technologies de pointe. L'adoption d'une approche Zero Trust, où chaque accès est vérifié et validé en continu, devient la norme pour les organisations soucieuses de leur intégrité.

Pour les structures qui ne disposent pas de ressources internes dédiées, s'appuyer sur des compétences externes permet de structurer efficacement cette transition. Qu'il s'agisse d'auditer les configurations existantes ou de déployer des solutions de protection des postes de travail, un service de dépannage informatique à Agen ou d'accompagnement technique offre la réactivité nécessaire pour faire face à ces nouveaux défis numériques.

Questions fréquentes

Sources

• Sekoia.io - BigBear PhaaS Analysis