Им пользуется группа ToddyCat.
Информационная безопасность546 минут назад
Специалисты по кибербезопасности из «Лаборатории Касперского» обнаружили новый инструмент и способ, позволяющие злоумышленникам без ведома получить доступ к корпоративной почте в Gmail. Атака осуществляется через API, что дает возможность просматривать переписки и собирать информацию из календаря и других сервисов Google, оставаясь незамеченным.
Основная идея нового вектора атаки, названного Shadow Token via Remote Debug (STRD), заключается в эксплуатации механизма авторизации OAuth. Злоумышленники применяют специально созданный инструмент Umbrij для извлечения токена доступа. Он ориентирован на Windows, но потенциально может применяться для атак на пользователей других операционных систем.
Атака становится возможной, если пользователь не вышел из своего аккаунта в браузере на основе Chromium. В этом случае браузер сохраняет активную сессию. Хакеры запускают экземпляр браузера и подключаются к нему через отладочный порт, отправляя запросы к Gmail от имени пользователя. Таким образом, им не нужно вводить логин и пароль.
Электронная почта продолжает оставаться основным средством служебной переписки в компаниях, и злоумышленники используют различные методы, чтобы её просмотреть. Обнаружение Umbrij — ещё одно подтверждение этого факта. Инструмент позволяет атакующим автоматизировать попытки получить доступ к корпоративной почте, что приводит к увеличению масштаба и частоты атак. Андрей Гунькин, специалист по кибербезопасности в «Лаборатории Касперского».
Для защиты от подобных угроз эксперты рекомендуют организациям регулярно проводить аудит сторонних приложений, имеющих доступ к учетным записям Google, и следить за нетипичной активностью, например, активацией браузера с включенным отладочным портом.
VerKoИсточники:Лаборатория КасперскогоИнформационная безопасность5Gmail46 минут назад
Источник