Überprüfung der Google API-Zugriffe und OAuth-Berechtigungen für Gmail-Konten und sofortige Meldung verdächtiger Aktivitäten.
1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ToddyCat-Linked Umbrij Malware Abuses OAuth to Access Gmail via Google API
Die neue Umbrij-Malware, die der Hackergruppe ToddyCat zugeschrieben wird, missbraucht OAuth, um über die Google API unautorisierten Zugriff auf Gmail-Konten zu erlangen. Ziel sind Unternehmens-E-Mails, um vertrauliche Korrespondenz auszuspionieren. Unternehmen sollten ihre Google API-Zugriffe und OAuth-Berechtigungen überprüfen und verdächtige Aktivitäten sofort melden.
SecBoard-Einordnung
Die Malware ermöglicht unautorisierten Zugriff auf vertrauliche Unternehmenskommunikation in Gmail-Konten, was zu Datendiebstahl und Spionage führen kann.
Realistisch schlimmster Fall: Langfristige, unbemerkte Spionage von Unternehmens-E-Mails und der Diebstahl sensibler Informationen, die über Gmail ausgetauscht werden.
Betroffen
Organisationen, die Gmail für Unternehmens-E-Mails nutzen.
Prüfen
3- ▸Überprüfen Sie alle OAuth-Berechtigungen, die Anwendungen für den Zugriff auf Gmail-Konten in Ihrer Organisation erteilt wurden, insbesondere solche, die kürzlich hinzugefügt wurden oder ungewöhnlich erscheinen.
- ▸Überwachen Sie die Google API-Zugriffsprotokolle auf ungewöhnliche oder unautorisierte Zugriffe auf Gmail-Konten.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Multi-Faktor-Authentifizierung (MFA) für alle Gmail-Konten aktiviert ist und dass Richtlinien für die Überprüfung von Anwendungsberechtigungen vorhanden sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus, wie die Umbrij-Malware die OAuth-Tokens initial kompromittiert, ist im Artikel nicht spezifiziert.
- ▸Es wird nicht spezifiziert, welche spezifischen Google API-Berechtigungen missbraucht werden.
- ▸Es wird nicht spezifiziert, wie die Malware auf die Systeme der Opfer gelangt.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Ziel sind Unternehmens-E-Mails, um vertrauliche Korrespondenz auszuspionieren.“
„missbraucht OAuth, um über die Google API unautorisierten Zugriff auf Gmail-Konten zu erlangen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile