Mit ToddyCat verbundene Umbrij-Malware nutzt OAuth-Abläufe, um über die Google API auf Gmail-Daten zuzugreifen

Laut Kaspersky wurde eine mit der Cyberespionagegruppe ToddyCat verbundene Malware-Familie dabei beobachtet, eine neue Technik einzusetzen, um über die Google API unauffällig auf Gmail-Inhalte zuzugreifen. Das als Umbrij bezeichnete Tool wurde entwickelt, um OAuth-Autorisierungsdaten aus aktiven Browsersitzungen zu stehlen und damit Zugriff auf geschäftliche E-Mail-Konten zu erlangen.

Nach Angaben der Forscher zielt die Kampagne auf geschäftliche Kommunikation in Gmail ab, indem sie den OAuth-2.0-Autorisierungsprozess ausnutzt. Anstatt direkt zu versuchen, Passwörter zu stehlen, startet die Malware Chromium-basierte Browser im Headless-Modus, verbindet sich über einen Remote-Debugging-Port und missbraucht eine bereits angemeldete Google-Sitzung, um eine Genehmigung anzufordern und einen Autorisierungscode zu erhalten. Dieser Code wird anschließend gegen ein Zugriffstoken eingetauscht, das für den Zugriff auf die Google API verwendet werden kann.

Kaspersky beschreibt die Methode als eine Form von „Shadow Token via Remote Debug“ und weist darauf hin, dass sie mit Browsern wie Google Chrome und Microsoft Edge funktioniert. Die Malware wurde in mehreren Versionen beobachtet, darunter Varianten, die Browserdaten untersuchen, aktive Benutzerprofile identifizieren und feststellen können, ob ein Google-Konto bereits authentifiziert ist.

Verbreitung und Ausführung

Dem Bericht zufolge wurde Umbrij im Rahmen einer Threat-Hunting-Untersuchung entdeckt. Die Malware wurde über eine geplante Aufgabe gestartet, die sich als legitime Kaspersky-Komponente tarnte, und anschließend mithilfe von DLL-Sideloading ausgeführt. Die Angreifer missbrauchten legitime, für Sideloading anfällige ausführbare Dateien, darunter Software von Bitdefender, Microsoft-Visual-Studio-Testtools und die ältere Anwendung Google Desktop Search.

Nach der Aktivierung sammelt die Malware Daten aus Browserprofilen, kopiert wichtige Dateien in Sicherungsordner und bereitet die Umgebung so vor, dass der Browser mit den vorhandenen Cookies und dem bestehenden Sitzungsstatus des Opfers geöffnet werden kann. Anschließend nutzt sie Automatisierungstools, um mit den Google-Autorisierungsseiten zu interagieren und den resultierenden OAuth-Code zur späteren Exfiltration abzufangen.

Warum das wichtig ist

Laut Kaspersky ermöglicht dieser Ansatz ToddyCat den Zugriff auf Gmail, ohne dieselben Warnmeldungen auszulösen, die bei einem Passwortdiebstahl auftreten könnten. Das Unternehmen empfiehlt, die verbundenen Anwendungen in den Einstellungen des Google-Kontos zu überprüfen und unbekannte Einträge zu widerrufen – insbesondere solche, die als Tools für die Migration oder Synchronisierung mit Google Workspace gekennzeichnet sind, sofern sie nicht verwendet werden.

Die Erkenntnisse deuten darauf hin, dass ToddyCat seine Methoden für den Zugriff auf sensible geschäftliche E-Mails weiter verfeinert und den Umfang seiner Aktivitäten durch Automatisierung ausweitet.