بدافزار Umbrij مرتبط با ToddyCat از OAuth برای دسترسی به Gmail از طریق Google API سوءاستفاده می‌کند

گروه هکری پیشرفته (APT) موسوم به ToddyCat با استفاده از بدافزار جدیدی به نام Umbrij، به دسترسی پنهانی به مکاتبات ایمیلی قربانیان از طریق Google API دست یافته است. شرکت امنیت سایبری کسپرسکی (Kaspersky) در گزارشی تفصیلی اعلام کرد که این بدافزار با بهره‌گیری از پروتکل OAuth 2.0 و تکنیکی که «Shadow Token via Remote Debug» (STRD) نام‌گذاری شده، مرورگرهای مبتنی بر Chromium را در حالت بدون رابط گرافیکی (headless mode) راه‌اندازی کرده و از طریق پورت اشکال‌زدایی از راه دور به نشست فعال Gmail متصل می‌شود تا توکن دسترسی OAuth را به سرقت ببرد. این ابزار همچنین با استفاده از بارگذاری جانبی DLL (DLL side-loading) از طریق فایل‌های اجرایی قانونی متعلق به Bitdefender، Microsoft Visual Studio و Google Desktop اجرا می‌شود.

Umbrij پس از اجرا، پروفایل‌های مرورگر را کپی کرده، مجوزهای کامل دسترسی به Gmail، Drive، Contacts، Calendar و Tasks را از طریق شبیه‌سازی کلیک‌های ماوس دریافت می‌کند و کد مجوز OAuth را برای اپراتور ارسال می‌نماید. کسپرسکی توصیه کرده است که سازمان‌ها دسترسی برنامه‌های «Google Workspace Migration for Microsoft Outlook» یا «Google Workspace Sync for Microsoft Outlook» را در صورت عدم استفاده واقعی، از طریق بخش «myaccount.google.com/connections» لغو کنند. آندری گونکین (Andrey Gunkin)، تحلیلگر ارشد بدافزار کسپرسکی، هشدار داد که این ابزار جدید با خودکارسازی حملات، مقیاس و تکرار نفوذ به حساب‌های ایمیل سازمانی را به‌طور قابل توجهی افزایش می‌دهد.