Специалисты «Лаборатории Касперского» обнаружили новый метод скрытого доступа к корпоративным аккаунтам Gmail. Злоумышленники используют специфическую технику для кражи переписки и конфиденциальных данных из календарей, не прибегая к стандартному вводу логинов и паролей.
Механика атаки: отладка вместо взлома
Новый вектор атаки, классифицированный как Shadow Token via Remote Debug (STRD), эксплуатирует уязвимости в механизме OAuth-авторизации. Ключевым элементом стал вредоносный инструмент Umbrij, ориентированный прежде всего на ОС Windows, хотя методика потенциально масштабируема и на другие платформы.
Алгоритм действий хакеров выглядит следующим образом:
- Активная сессия: Атака эффективна, если пользователь остается авторизованным в своем аккаунте в браузере на базе Chromium.
- Подключение: Вредоносное ПО запускает скрытый экземпляр браузера и подключается к нему через порт удаленной отладки.
- Перехват: Получив доступ через отладочный интерфейс, злоумышленники могут отправлять запросы к Gmail от лица владельца учетной записи.
Поскольку сессия пользователя уже активна, атакующим не требуется проходить двухфакторную аутентификацию или знать пароль, что делает вторжение крайне сложным для обнаружения стандартными средствами безопасности.
Электронная почта по-прежнему остаётся основным средством служебной переписки в компаниях, и злоумышленники прибегают к разным методам, чтобы её прочитать. Обнаружение Umbrij — ещё одно тому подтверждение. Инструмент позволяет атакующим автоматизировать попытки получить доступ к электронной почте организаций, в результате чего растёт масштаб и частота атак.
Андрей Гунькин, эксперт по кибербезопасности в «Лаборатории Касперского»
Как защитить корпоративные данные
Эксперты настаивают на необходимости комплексного подхода к кибергигиене. Для предотвращения несанкционированного доступа компаниям рекомендуется:
- Регулярно проводить аудит всех сторонних приложений и расширений, имеющих доступ к корпоративным учетным записям Google.
- Мониторить подозрительную сетевую и системную активность, в частности, контролировать запуск браузеров с активированными портами удаленной отладки.
- Ограничивать возможность запуска браузеров с параметрами отладки на рабочих станциях сотрудников.
