Il malware Umbrij, collegato a ToddyCat, usa i flussi OAuth per raggiungere i dati di Gmail tramite l’API di Google

Secondo Kaspersky, una famiglia di malware collegata al gruppo di cyberspionaggio ToddyCat è stata osservata mentre utilizzava una nuova tecnica per accedere furtivamente ai contenuti di Gmail tramite l’API di Google. Lo strumento, chiamato Umbrij, è progettato per sottrarre i dati di autorizzazione OAuth dalle sessioni attive del browser e trasformarli in accesso agli account di posta elettronica aziendali.

I ricercatori affermano che la campagna prende di mira le comunicazioni aziendali ospitate su Gmail sfruttando il processo di autorizzazione OAuth 2.0. Invece di tentare di sottrarre direttamente le password, il malware avvia browser basati su Chromium in modalità headless, si connette tramite una porta di debugging remoto e sfrutta una sessione Google già autenticata per richiedere l’autorizzazione e ottenere un codice di autorizzazione. Il codice viene quindi scambiato con un token di accesso che può essere utilizzato con l’API di Google.

Kaspersky descrive il metodo come una forma di “Shadow Token via Remote Debug” e osserva che funziona con browser come Google Chrome e Microsoft Edge. Il malware è stato osservato in diverse versioni, comprese build in grado di analizzare i dati del browser, identificare i profili utente attivi e determinare se un account Google è già autenticato.

Distribuzione ed esecuzione

Secondo il rapporto, Umbrij è stato scoperto durante un’attività di threat hunting. È stato avviato tramite un’attività pianificata che si spacciava per un componente legittimo di Kaspersky, quindi ha utilizzato il DLL sideloading per avviare il payload dannoso. Gli aggressori hanno abusato di eseguibili legittimi vulnerabili al sideloading, tra cui software associati a Bitdefender, agli strumenti di test di Microsoft Visual Studio e alla precedente applicazione Google Desktop Search.

Una volta attivo, il malware raccoglie i dati dei profili del browser, copia i file chiave in cartelle di backup e prepara l’ambiente affinché il browser possa essere aperto mantenendo intatti i cookie e lo stato della sessione esistenti della vittima. Utilizza quindi strumenti di automazione per interagire con le pagine di autorizzazione di Google e catturare il codice OAuth risultante, che sarà esfiltrato in un secondo momento.

Perché è importante

Secondo Kaspersky, questo approccio consente a ToddyCat di accedere a Gmail senza generare gli stessi avvisi che potrebbero seguire un tentativo di sottrazione della password. L’azienda raccomanda di controllare le applicazioni connesse nelle impostazioni dell’account Google e di revocare quelle sconosciute, in particolare quelle etichettate come strumenti di migrazione o sincronizzazione di Google Workspace, se non sono in uso.

I risultati suggeriscono che ToddyCat continua a perfezionare i propri metodi per raggiungere le caselle di posta elettronica aziendali sensibili e ampliare la portata delle proprie operazioni tramite l’automazione.