Эксперты по кибербезопасности из «Лаборатории Касперского» выявили новый инструмент и методику, которые позволяют злоумышленникам получать скрытый доступ к корпоративной почте в Gmail. Атака осуществляется через API и даёт возможность читать переписки, а также собирать данные из календаря и других сервисов Google, оставаясь незамеченным.

Суть нового вектора атаки, получившего название Shadow Token via Remote Debug (STRD), заключается в эксплуатации механизма OAuth-авторизации. Злоумышленники используют специально разработанный инструмент Umbrij для получения токена доступа. Он нацелен на Windows, однако потенциально может использоваться в атаках на пользователей других операционных систем.

Атака возможна, если пользователь не вышел из своего аккаунта в браузере на движке Chromium. В этом случае браузер сохраняет активную сессию. Хакеры запускают экземпляр браузера и подключаются к нему через отладочный порт, отправляя запросы к Gmail от имени пользователя. Таким образом, им не требуется вводить логин и пароль.

Для защиты от подобных угроз специалисты рекомендуют организациям проводить регулярный аудит сторонних приложений, имеющих доступ к учётным записям Google, и отслеживать нетипичную активность, например, запуск браузера с включённым портом отладки.