Эксперты по кибербезопасности из «Лаборатории Касперского» выявили новый инструмент и методику, которые позволяют злоумышленникам получать скрытый доступ к корпоративной почте в Gmail. Атака осуществляется через API и даёт возможность читать переписки, а также собирать данные из календаря и других сервисов Google, оставаясь незамеченным. Изображение сгенерировано нейросетью ChatGPT Суть нового вектора атаки, получившего название Shadow Token via Remote Debug (STRD), заключается в эксплуатации механизма OAuth-авторизации. Злоумышленники используют специально разработанный инструмент Umbrij для получения токена доступа. Он нацелен на Windows, однако потенциально может использоваться в атаках на пользователей других операционных систем. Атака возможна, если пользователь не вышел из своего аккаунта в браузере на движке Chromium. В этом случае браузер сохраняет активную сессию. Хакеры запускают экземпляр браузера и подключаются к нему через отладочный порт, отправляя запросы к Gmail от имени пользователя. Таким образом, им не требуется вводить логин и пароль. Электронная почта по-прежнему остаётся основным средством служебной переписки в компаниях, и злоумышленники прибегают к разным методам, чтобы её прочитать. Обнаружение Umbrij — ещё одно тому подтверждение. Инструмент позволяет атакующим автоматизировать попытки получить доступ к электронной почте организаций, в результате чего растёт масштаб и частота атак. Андрей Гунькин, эксперт по кибербезопасности в «Лаборатории Касперского». Для защиты от подобных угроз специалисты рекомендуют организациям проводить регулярный аудит сторонних приложений, имеющих доступ к учётным записям Google, и отслеживать нетипичную активность, например, запуск браузера с включённым портом отладки.