Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations
Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat bei 258 Organisationen die Multi-Faktor-Authentifizierung (MFA) umgangen und über 5.000 Microsoft 365-Zugangsdaten gestohlen. Betroffen sind Tausende von Nutzern weltweit, deren E-Mails und Dateien kompromittiert sein könnten. Organisationen sollten exponierte Passwörter zurücksetzen und auf verdächtige Aktivitäten achten.
SecBoard-Einordnung
Dieser Angriff umgeht MFA, was bedeutet, dass selbst Organisationen mit MFA-Implementierung anfällig sein können. Gestohlene Microsoft 365-Zugangsdaten können zu weitreichenden Kompromittierungen von E-Mails und Dateien führen.
Realistisch schlimmster Fall: Angreifer könnten dauerhaften Zugriff auf Microsoft 365-Konten erhalten, sensible Daten exfiltrieren, weitere Angriffe starten oder sich lateral im Netzwerk bewegen, selbst wenn MFA aktiviert ist.
Empfehlung: Exponierte Passwörter sofort zurücksetzen, auf verdächtige Aktivitäten in Microsoft 365-Umgebungen achten und stärkere, phishing-resistente MFA-Methoden implementieren.
Betroffen
258 Organisationen weltweit, die Microsoft 365 nutzen.
Prüfen
3- ▸Überprüfen Sie Microsoft 365-Audit-Logs auf ungewöhnliche Anmeldeorte, IP-Adressen oder Anmeldeversuche, die nicht mit bekannten Benutzeraktivitäten übereinstimmen.
- ▸Überprüfen Sie die Konfiguration Ihrer MFA-Lösungen, um sicherzustellen, dass phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel oder zertifikatbasierte Authentifizierung bevorzugt werden.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung aller Microsoft 365-Benutzerkonten durch, um festzustellen, ob verdächtige Weiterleitungsregeln, Postfachberechtigungen oder Anwendungsberechtigungen eingerichtet wurden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen Branchen oder geografischen Regionen der betroffenen Organisationen werden nicht genannt.
- ▸Details zu den genauen Phishing-Methoden (z.B. E-Mail-Inhalte, verwendete Domains) werden nicht angegeben.
- ▸Es wird nicht spezifiziert, welche spezifischen Microsoft 365-Dienste (z.B. Exchange Online, SharePoint Online) am stärksten betroffen waren.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir SharePoint extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Credential Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat bei 258 Organisationen die Multi-Faktor-Authentifizierung (MFA) umgangen und über 5.000 Microsoft 365-Zugangsdaten gestohlen.“
„Angreifer können Konten kapern, selbst nachdem die MFA abgeschlossen ist.“
„Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat bei 258 Organisationen die Multi-Faktor-Authentifizierung (MFA) umgangen.“
„Ein Phishing-as-a-Service-Framework namens BigBear 2.0 hat bei 258 Organisationen die Multi-Faktor-Authentifizierung (MFA) umgangen und über 5.000 Microsoft 365-Zugangsdaten gestohlen.“
„Dieser Evilginx2-basierte Adversary-in-the-Middle (AiTM)-Angriff fängt Passwörter und Session-Cookies ab.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap