Umbrij (ToddyCat) lạm dụng OAuth và trình duyệt headless để chiếm quyền Gmail qua Google API
"Researchers reported that ToddyCat is using a new malware family, Umbrij, to abuse OAuth and headless Chromium browser sessions to obtain Google API access to victims' Gmail accounts. The malware leverages DLL side-loading, browser profile theft, and remote debugging to capture an authorization code and exchange it for an access token, enabling unauthorized access to corporate email; mitigation includes reviewing and revoking suspicious Google Workspace migration app connections."
Nguy cơ cao do kẻ tấn công có thể lấy OAuth access token từ phiên Gmail đang đăng nhập để truy cập trái phép qua Google API. Điểm then chốt gồm: chiếm authorization code, điều khiển headless Chromium qua remote debugging, và trích xuất dữ liệu profile trình duyệt.
Tác động đáng kể tới vận hành do có thể làm lộ thông tin email doanh nghiệp và gián đoạn quy trình trao đổi. Điểm cần chú ý: chiếm quyền email corporate, tăng khả năng mở rộng tấn công nhờ tự động hoá, và ảnh hưởng tới các hoạt động tích hợp/migration nếu token bị lạm dụng.
Các nhà nghiên cứu cho biết nhóm đe doạ được gán tên ToddyCat đã sử dụng một họ mã độc mới là Umbrij nhằm chiếm quyền truy cập thư điện tử trên Gmail thông qua Google API. Kỹ thuật trọng tâm là lạm dụng cơ chế ủy quyền OAuth 2.0: mã độc lấy authorization code rồi đổi lấy access token để truy cập tài nguyên email mà không được phép.
Theo báo cáo, Umbrij khởi chạy Chromium-based browsers ở chế độ headless, sau đó dùng remote debugging port và thư viện điều khiển Puppeteer (qua Chrome DevTools Protocol) để chiếm phiên đăng nhập đang hoạt động. Mã độc còn thực hiện DLL side-loading từ các tệp nhị phân hợp lệ dễ bị lợi dụng, đồng thời trích xuất dữ liệu hồ sơ trình duyệt (cookies/Local Storage và các thành phần liên quan) để bỏ qua bước xác thực.
Để giảm thiểu rủi ro, doanh nghiệp nên rà soát các kết nối ứng dụng trong Google Workspace tại myaccount.google.com/connections, đặc biệt các ứng dụng liên quan đến Google Workspace Migration for Microsoft Outlook hoặc Google Workspace Sync for Microsoft Outlook, và revoke nếu không thuộc nhu cầu vận hành. Đồng thời, tăng giám sát tác vụ lịch (scheduled task) và hành vi khởi chạy DLL bất thường trên máy chủ Windows.