BigBear 2.0: Phishing-Kampagne umgeht MFA bei 461 Organisationen

In einem aktuellen Bericht vom 8. September 2026 hat das Sicherheitsunternehmen CloudSEK eine großangelegte Phishing-as-a-Service-Kampagne namens „BigBear 2.0“ identifiziert. Die Operation, die auf der Software Evilginx2 basiert, zielt primär auf Microsoft-365-Konten ab. Die Besonderheit dieser Angriffe liegt in der Fähigkeit, herkömmliche Multi-Faktor-Authentifizierungen (MFA) durch den gezielten Diebstahl von Session-Cookies zu umgehen.

Ausmaß und Betroffene der Kampagne

Den Analysen von CloudSEK zufolge sind weltweit bereits 461 Organisationen in über 40 Ländern von der Kampagne betroffen. Davon gelten 258 Organisationen als vollständig kompromittiert.

Die Angreifer konnten insgesamt 5.137 Datensätze mit Zugangsdaten für Microsoft 365 erbeuten. Diese Sammlung umfasst 1.032 Passwörter im Klartext sowie 4.148 Session-Cookies.

Die Effektivität der Methode zeigt sich darin, dass 474 Anmeldungen unter erfolgreicher Umgehung der MFA durchgeführt werden konnten. Insgesamt wurden 3.331 eindeutige IP-Adressen von Opfern erfasst.

Als Hauptziel der Kampagne haben sich IT-Dienstleister und Managed Service Provider (MSPs) herauskristallisiert, wobei in diesem Sektor 151 betroffene Organisationen gezählt wurden. In einer geografischen Auswertung wurden Indien mit 658, Frankreich mit 463 sowie Saudi-Arabien mit 353 betroffenen Organisationen als die am stärksten getroffenen Regionen identifiziert.

Technische Vorgehensweise und Infrastruktur

Die Kampagne nutzt sogenannte Adversary-in-the-Middle-Techniken (AiTM). Dabei positionieren sich die Angreifer zwischen den Nutzer und den echten Dienst, um Session-Tokens unmittelbar nach einer erfolgreichen Authentifizierung abzufangen. Zur Verschleierung ihrer Aktivitäten setzen die Hintermänner Wohnproxys (residential proxies) ein. Zudem sind sie in der Lage, FIDO2-Hardware-Sicherheitsschlüssel zu deaktivieren, um den Zugriff zu sichern.

Angesichts immer raffinierterer Methoden wie dem Diebstahl von Session-Cookies wird der Schutz von Unternehmensdaten zur existenziellen Aufgabe. Dieser kostenlose Leitfaden zeigt in vier praktischen Schritten, wie Sie Phishing-Angriffe und psychologische Manipulationstaktiken effektiv stoppen. Anti-Phishing-Paket jetzt gratis herunterladen

Die technische Infrastruktur von BigBear 2.0 ist laut CloudSEK robust aufgestellt und umfasst 42 VPS-Knoten sowie fünf Partner, sogenannte Affiliates, die das System nutzen. Experten empfehlen zum Schutz vor solchen Angriffen den Einsatz von phishing-resistenten MFA-Lösungen auf Basis von FIDO2 sowie den sofortigen Widerruf verdächtiger Session-Tokens, sobald Unregelmäßigkeiten festgestellt werden.

Parallele Bedrohungen und der Einfluss von KI

Neben der BigBear-2.0-Kampagne berichten andere Sicherheitsunternehmen über ähnliche Bedrohungsszenarien. Arctic Wolf verfolgt eine vishing-Kampagne unter dem Namen „PREY-0058“, die sich als IT-Helpdesk ausgibt. Diese richte sich vorwiegend gegen Führungskräfte in den USA in den Branchen Bauwesen, Gesundheitswesen, Immobilien und Finanzen. Ziel sei ebenfalls der Diebstahl von MFA-Tokens und Session-Cookies, um Daten aus SharePoint, OneDrive und Exchange zu exfiltrieren.

Zusätzlich warnt das FBI vor einer Zunahme von OAuth-Consent-Phishing. Bei dieser Methode, die seit Ende 2025 beobachtet wird, erhalten Angreifer dauerhaften Zugriff auf Konten, der weder durch Passwortänderungen noch durch MFA unterbrochen werden kann. Ein solcher Zugriff könne nur durch das explizite Widerrufen der Berechtigungen in den App-Einstellungen beendet werden.

Untersuchungen der Google Threat Intelligence Group zeigen zudem, dass Bedrohungsakteure verstärkt KI-Frameworks nutzen, um Angriffe zu automatisieren. In einem dokumentierten Fall konnten Zugangsdaten massenhaft in weniger als sechs Stunden gesammelt werden.

Wer sich mit den aktuellen Sicherheitsrisiken durch automatisierte Angriffe befasst, sollte auch die neuen gesetzlichen Rahmenbedingungen kennen. Ein kostenloses E-Book bietet Compliance-Verantwortlichen jetzt einen kompakten Überblick über Pflichten und Fristen der EU-KI-Verordnung. KI-Verordnung Umsetzungsleitfaden kostenlos sichern

Ein exponierter Command-and-Control-Server namens „Recon“ verwaltete dabei über 23.800 gestohlene Geheimnisse. Dennoch existieren nach aktueller Einschätzung der Experten noch keine vollständig autonomen KI-Angriffspipelines.

Laut TransUnion nutzen zudem 63 % der Mitarbeiter nicht autorisierte KI-Tools am Arbeitsplatz, was zusätzliche Sicherheitsrisiken schafft. Während KI traditionelle Methoden wie Phishing verstärkt, bleiben Ransomware und Business Email Compromise (BEC) laut dem Unternehmen die größten Bedrohungen für die Cybersicherheit.

In einem separaten Fall, über den Mondaq berichtete, forderten Angreifer der Gruppe UNC6671 nach Vishing-Angriffen auf US-Finanzinstitute Lösegelder zwischen 750.000 und 3 Millionen US-Dollar.

de | wissenschaft | 70077848 |