Die IT-Sicherheits-Experten von Kaspersky haben ein bisher unbekanntes Tool der APT (Advanced Persistent Group)-Gruppe ToddyCat identifiziert. Mit ‚Umbrij‘ können sich die Angreifer über die API des Dienstes unbefugten Zugriff auf Google-Konten, darunter Mails, Cloud-Speicher und Kontakte, verschaffen. Die Malware wurde für Angriffe auf Windows-Nutzer entwickelt, die Technik kann jedoch potenziell auch für andere Systeme eingesetzt werden.
Der Angriff nutzt eine bestehende, authentifizierte Gmail-Sitzung aus, die im Browser aktiv bleibt, solange keine Abmeldung vom Gmail-Konto erfolgt. Angreifer können diese Sitzung missbrauchen, indem sie eine Browserinstanz starten, über einen Debugging-Port die Kontrolle erlangen und Anfragen an Gmail senden. Auf diese Weise erhalten sie innerhalb der bestehenden Sitzung Zugriff auf weitere Google-Ressourcen, ohne dass Anmeldedaten erneut eingegeben werden müssen.
Umbrij kann weitreichende Berechtigungen anfordern, darunter den vollständigen Zugriff auf E-Mails, Cloud-Speicher und Kontakte. Um den Autorisierungsprozess abzuschließen, interagiert Umbrij automatisch mit der Zustimmungsabfrage und bestätigt den angeforderten Zugriff durch einen Klick auf die Schaltfläche „Zulassen“. Dadurch erhält Umbrij schließlich den Authentifizierungscode, der für den Zugriff auf die Zielressourcen erforderlich ist.
Kaspersky-Empfehlungen zum Schutz vor Umbrij:
- Entwicklertools in Chromium-basierten Browsern für alle Nutzer deaktivieren, die diese nicht für ihre tägliche Arbeit benötigen.
- Eine umfassende Sicherheitslösung einsetzen, die Echtzeitschutz, Transparenz über Bedrohungen sowie Untersuchungs- und Reaktionsfunktionen aus den Bereichen EPP, EDR und XDR bietet.
- Managed-Security-Services helfen dabei, zusätzliche externe Expertise zu erhalten ohne weiteres Personal einzustellen. So können Unternehmen vor Cyberangriffen adäquat geschützt und Sicherheitsvorfälle entsprechend untersucht werden.
- Dem SOC-Team Zugang zu den neuesten Bedrohungsdaten gewähren.
Ergänzende Empfehlungen unserer Redaktion:
- Dringend prüfen, ob Gmail überhaupt eine geeignete Plattform für Business E-Mails ist, allein schon unter Datenschutz-Aspekten
- Wenn es doch genutzt wird, darauf drängen, dass Anwender Gmail-Sessions konsequent abmelden/ausloggen, spätestens wenn der Arbeitsplatz verlassen wird.