El equipo de investigación de Kaspersky detectó una táctica empleada por el grupo APT ToddyCat para vulnerar correos de empresas sin necesidad de robar contraseñas. Este método se aprovecha de las sesiones que los usuarios dejan activas en navegadores basados en Chromium para solicitar accesos a recursos críticos de Google, tales como correos, archivos en la nube y directorios de contactos corporativos.
La técnica ha sido identificada bajo la denominación STRD, que se refiere a Shadow Token via Remote Debug. El ataque se ejecuta mediante un programa maligno llamado Umbrij, el cual abre una conexión oculta utilizando herramientas diseñadas originalmente para desarrolladores. A través de este canal, los atacantes logran realizar peticiones de permisos simulando ser el usuario legítimo y aprobando de manera automática las ventanas de consentimiento para extraer los códigos de acceso a la cuenta.
Leandro Cuozzo, analista de seguridad de la firma, advirtió sobre la gravedad de esta situación: El correo electrónico de una compañía resguarda información de carácter estratégico. Un compromiso en este servicio no solo afecta la mensajería, sino que actúa como un punto de acceso hacia otros sistemas críticos dentro de la organización. El especialista sugiere que los negocios deben evaluar con rigor las funcionalidades que habilitan a sus empleados y restringir aquellas que no resulten indispensables para sus tareas diarias.
Para mitigar la exposición a este tipo de incidentes, se aconseja adoptar una serie de medidas preventivas. Es fundamental que los trabajadores eviten mantener las sesiones abiertas de forma permanente y procedan a cerrarlas cuando finalicen sus labores. Asimismo, los administradores de sistemas deben desactivar las funciones de desarrollo en los navegadores si el personal no las requiere. Finalmente, el uso de herramientas avanzadas de detección y el apoyo en servicios especializados de inteligencia de amenazas permiten monitorear de mejor manera los entornos corporativos para reaccionar oportunamente ante cualquier anomalía.
Fuente: Kaspersky
