Почему этот эксплоит отличается от всего, что мы видели ранее.
Согласно
Атака, осуществляемая с помощью недокументированной точки доступа Google Oauth, под названием "MultiLogin", была выявлена командой исследователей CloudSEK. "MultiLogin" — это внутренний механизм, предназначенный для синхронизации аккаунтов Google через различные сервисы, что обеспечивает соответствие состояний аккаунтов в браузере с куки-файлами аутентификации Google.
Отмечается, что разработчик
Эксплоит был интегрирован в вредоносную программу
"Сессия остается действительной, даже когда пароль аккаунта изменяется, что представляет собой уникальное преимущество в обходе типичных мер безопасности," - цитирует отчет слова PRISMA, автора эксплоита.
Исследователи отмечают тревожную тенденцию к быстрой интеграции эксплоитов среди различных киберпреступных групп. Эксплуатация недокументированной точки доступа Google OAuth2 MultiLogin представляет собой яркий пример сложности, поскольку подход основан на тонкой манипуляции токеном GAIA ID (Google Accounts and ID administration). Вредоносное ПО скрывает механизм эксплоита с помощью слоя шифрования.
Эта техника эксплуатации демонстрирует высокий уровень сложности и понимания внутренних механизмов аутентификации Google. Манипулируя парой "токен: GAIA ID", Lumma может постоянно регенерировать куки-файлы для сервисов Google. Особенно тревожно, что этот эксплоит остается эффективным даже после сброса паролей пользователей, что позволяет осуществлять продолжительную и потенциально незаметную эксплуатацию пользовательских аккаунтов и данных," заключила команда CloudSEK.
Согласно
Для просмотра ссылки необходимо нажать
Вход или Регистрация
, представленному компанией
Для просмотра ссылки необходимо нажать
Вход или Регистрация
, новый метод взлома позволяет злоумышленникам эксплуатировать функциональность протокола авторизации OAuth 2.0 для компрометации аккаунтов
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Этот метод позволяет поддерживать действительные сессии, регенерируя куки-файлы, даже после смены IP-адреса или пароля.![image image](https://www.securitylab.ru/upload/iblock/a6d/qxrv6rqedo4b5jdutwk0jwnvmdu8l5h7.jpg)
Атака, осуществляемая с помощью недокументированной точки доступа Google Oauth, под названием "MultiLogin", была выявлена командой исследователей CloudSEK. "MultiLogin" — это внутренний механизм, предназначенный для синхронизации аккаунтов Google через различные сервисы, что обеспечивает соответствие состояний аккаунтов в браузере с куки-файлами аутентификации Google.
Отмечается, что разработчик
Для просмотра ссылки необходимо нажать
Вход или Регистрация
выразил готовность к сотрудничеству, что ускорило обнаружение точки доступа, ответственной за регенерацию куки-файлов.Эксплоит был интегрирован в вредоносную программу
Для просмотра ссылки необходимо нажать
Вход или Регистрация
Infostealer 14 ноября. Основные особенности Lumma включают в себя постоянство сессии и генерацию куки-файлов. Программа нацелена на извлечение необходимых секретов, токенов и идентификаторов аккаунтов, атакуя таблицу token_service в WebData залогиненных профилей Chrome."Сессия остается действительной, даже когда пароль аккаунта изменяется, что представляет собой уникальное преимущество в обходе типичных мер безопасности," - цитирует отчет слова PRISMA, автора эксплоита.
Исследователи отмечают тревожную тенденцию к быстрой интеграции эксплоитов среди различных киберпреступных групп. Эксплуатация недокументированной точки доступа Google OAuth2 MultiLogin представляет собой яркий пример сложности, поскольку подход основан на тонкой манипуляции токеном GAIA ID (Google Accounts and ID administration). Вредоносное ПО скрывает механизм эксплоита с помощью слоя шифрования.
Эта техника эксплуатации демонстрирует высокий уровень сложности и понимания внутренних механизмов аутентификации Google. Манипулируя парой "токен: GAIA ID", Lumma может постоянно регенерировать куки-файлы для сервисов Google. Особенно тревожно, что этот эксплоит остается эффективным даже после сброса паролей пользователей, что позволяет осуществлять продолжительную и потенциально незаметную эксплуатацию пользовательских аккаунтов и данных," заключила команда CloudSEK.
Для просмотра ссылки необходимо нажать
Вход или Регистрация