Umbrij nutzt aktive Google Sitzungen
Die APT Gruppe ToddyCat setzt offenbar ein neu identifiziertes Angriffswerkzeug namens Umbrij ein. Das Tool zielt auf bestehende und bereits authentifizierte Google Sitzungen in Chromium basierten Browsern. Dadurch können die Angreifer auf Ressourcen eines Google Kontos zugreifen, ohne das zugehörige Passwort erneut eingeben zu müssen.
Voraussetzung für den Angriff ist eine aktive Gmail Sitzung. Solange sich der Benutzer nicht vom Google Konto abmeldet und die Sitzung weiterhin gültig ist, kann der Browser authentifizierte Anfragen an Google Dienste übermitteln. Umbrij nutzt diesen Zustand aus und übernimmt die Kontrolle über eine speziell gestartete Browserinstanz.
Die Malware wurde nach bisherigen Erkenntnissen für Angriffe auf Windows Systeme entwickelt. Die zugrunde liegende Methode ist jedoch nicht grundsätzlich auf Windows beschränkt. Da Chromium und die verwendeten Debugging Funktionen auf mehreren Betriebssystemen verfügbar sind, könnte die Technik in angepasster Form auch andere Plattformen betreffen.
Kontrolle über den Remote Debugging Port
Im Mittelpunkt des Angriffs steht die Remote Debugging Schnittstelle Chromium basierter Browser. Diese Funktion ist ursprünglich für Entwickler vorgesehen. Sie erlaubt es externen Programmen, eine Browserinstanz zu analysieren, Seiteninhalte zu verändern, JavaScript auszuführen und Benutzerinteraktionen zu automatisieren.
Umbrij startet eine Browserinstanz mit aktiviertem Debugging Port oder stellt eine Verbindung zu einer entsprechend vorbereiteten Instanz her. Anschließend kann das Tool Browseraktivitäten steuern und Anfragen im Kontext der angemeldeten Person ausführen. Aus Sicht des Google Dienstes stammen diese Anfragen aus einer bereits bestätigten Sitzung.
Das Verfahren reduziert die Bedeutung klassischer Zugangsdaten für den konkreten Angriff. Selbst wenn ein Konto durch ein starkes Passwort und eine Mehrfaktor Authentifizierung geschützt ist, kann eine bereits freigegebene Sitzung weiterhin missbraucht werden. Die Mehrfaktor Authentifizierung verhindert in diesem Szenario nicht automatisch den Zugriff, weil der reguläre Anmeldevorgang bereits abgeschlossen wurde.
Shadow Token via Remote Debug
Die neu beschriebene Technik wird als Shadow Token via Remote Debug, kurz STRD, bezeichnet. Dabei verwenden die Angreifer die Fernsteuerungsfunktionen des Browsers, um innerhalb einer authentifizierten Sitzung zusätzliche Zugriffsrechte anzufordern.
Umbrij kann einen OAuth Autorisierungsvorgang auslösen und dabei umfangreiche Berechtigungen für Google Dienste anfordern. Zu den möglichen Zugriffsbereichen gehören E-Mails, Dateien im Cloud Speicher und gespeicherte Kontakte. Das Tool automatisiert die erforderlichen Schritte im Browser und interagiert selbstständig mit dem angezeigten Zustimmungsdialog.
Erscheint die Schaltfläche „Zulassen“, kann Umbrij den entsprechenden Klick simulieren. Nach der Bestätigung erhält die Anwendung einen Autorisierungscode. Dieser lässt sich anschließend gegen Zugriffstoken eintauschen, die Anfragen an freigegebene Google APIs ermöglichen.
Damit entsteht neben der ursprünglichen Browsersitzung ein zusätzlicher Zugriffsweg. Ein solches Token kann abhängig von den erteilten Berechtigungen und seiner Gültigkeitsdauer auch für automatisierte Zugriffe verwendet werden. Für die Angreifer ist dies besonders relevant, weil der Zugriff nicht mehr ausschließlich an die sichtbare Browseraktivität gebunden ist.
Tarnung als legitimer Prozess
Umbrij soll seine Aktivitäten als legitimen Prozess tarnen können. Dadurch wird die Unterscheidung zwischen normaler Browsernutzung, Entwicklungsfunktionen und schädlicher Automatisierung erschwert. In Unternehmensumgebungen können Chromium Prozesse, Debugging Komponenten und API Zugriffe grundsätzlich legitime Ursachen haben.
Diese Tarnung unterstützt die Angreifer dabei, den Zugriff auf kompromittierte Systeme über einen längeren Zeitraum aufrechtzuerhalten. Sicherheitslösungen, die hauptsächlich nach ungewöhnlichen Anmeldeversuchen oder gestohlenen Passwörtern suchen, könnten entsprechende Aktivitäten übersehen. Die Anfragen werden schließlich im Kontext einer gültigen Sitzung und über reguläre Schnittstellen ausgeführt.
Risiken für Unternehmen
Ein erfolgreicher Angriff kann weitreichende Folgen haben. Der Zugriff auf Gmail ermöglicht die Auswertung vertraulicher Kommunikation, das Auffinden interner Dokumente und die Vorbereitung weiterer Angriffe. E-Mail Konten eignen sich zudem häufig zum Zurücksetzen von Passwörtern anderer Dienste.
Über Cloud Speicher können Angreifer auf Projektunterlagen, Verträge, technische Dokumentationen und gemeinsam genutzte Dateien zugreifen. Kontaktdaten lassen sich zur Identifikation weiterer Ziele verwenden. Die Kombination dieser Informationen ermöglicht präzise Phishing Angriffe und erleichtert die seitliche Bewegung innerhalb einer Organisation.
Besonders kritisch ist die mögliche Verbindung zwischen browserbasiertem Sitzungszugriff und dauerhaft nutzbaren API Berechtigungen. Wird lediglich der kompromittierte Endpunkt bereinigt, bleiben unzulässig autorisierte Anwendungen oder ausgegebene Token unter Umständen bestehen. Eine wirksame Reaktion muss deshalb auch die serverseitigen Kontoeinstellungen berücksichtigen.
Erkennung und Gegenmaßnahmen
Unternehmen sollten die Nutzung von Remote Debugging Funktionen in verwalteten Browsern überwachen und soweit betrieblich möglich einschränken. Unerwartete Browserstarts mit Parametern zur Aktivierung eines Debugging Ports können auf einen Missbrauch hinweisen. Ebenso relevant sind lokale Netzwerkports, die von Browserprozessen geöffnet werden, sowie Prozesse, die Verbindungen zu diesen Ports herstellen.
Administratoren sollten außerdem OAuth Autorisierungen und API Zugriffe regelmäßig auswerten. Neue Anwendungen mit umfangreichen Berechtigungen für Gmail, Kontakte oder Cloud Speicher verdienen besondere Aufmerksamkeit. Auffällig sind insbesondere Autorisierungen, die nicht mit einem bekannten Geschäftsprozess oder einer genehmigten Anwendung verknüpft werden können.
Bei einem bestätigten Vorfall reicht eine Änderung des Kontopassworts allein nicht aus. Aktive Sitzungen sollten beendet, verdächtige OAuth Berechtigungen widerrufen und ausgegebene Token ungültig gemacht werden. Zusätzlich ist das betroffene System auf Schadsoftware, manipulierte Browserkonfigurationen und Persistenzmechanismen zu untersuchen.
Endpoint Detection and Response Systeme können zur Erkennung ungewöhnlicher Prozessketten beitragen. Dazu gehören unbekannte Programme, die Browser mit Debugging Optionen starten, automatisierte Interaktionen mit Zustimmungsdialogen sowie unerwartete Zugriffe auf Browserprofile. Eine zentrale Protokollierung von Identitäts-, Browser- und Endpunktdaten verbessert die Möglichkeit, solche Aktivitäten miteinander zu korrelieren.
Fazit
Umbrij zeigt, dass gültige Browsersitzungen und legitime Entwicklungsfunktionen zu einem leistungsfähigen Angriffsweg kombiniert werden können. Die STRD Technik umgeht nicht zwingend die Anmeldung selbst, sondern missbraucht einen bereits authentifizierten Zustand zur Erteilung zusätzlicher API Berechtigungen.
Für Unternehmen ergibt sich daraus die Notwendigkeit, neben Passwörtern und Anmeldeereignissen auch Sitzungen, Browserprozesse, Debugging Schnittstellen und OAuth Autorisierungen zu überwachen. Erst die gemeinsame Betrachtung dieser Ebenen ermöglicht eine zuverlässige Erkennung und vollständige Bereinigung entsprechender Angriffe.
FAQ zu Umbrij und STRD
Was ist Umbrij?
Umbrij ist ein neu identifiziertes Angriffswerkzeug der APT Gruppe ToddyCat. Es nutzt Chromium basierte Browser und deren Remote Debugging Funktionen, um authentifizierte Google Sitzungen zu missbrauchen.
Welche Daten können betroffen sein?
Abhängig von den erteilten API Berechtigungen kann der Zugriff E-Mails, Dateien im Cloud Speicher und Kontakte umfassen.
Benötigt Umbrij das Passwort des Opfers?
Für den beschriebenen Angriff ist keine erneute Passworteingabe erforderlich. Das Tool verwendet eine bereits authentifizierte Browsersitzung. Für die anfängliche Kompromittierung des Systems können jedoch andere Angriffsmethoden notwendig sein.
Schützt eine Mehrfaktor Authentifizierung vor dem Angriff?
Eine Mehrfaktor Authentifizierung erschwert die Übernahme eines Kontos, verhindert aber nicht automatisch den Missbrauch einer bereits bestätigten Sitzung. Sie bleibt dennoch ein wichtiger Bestandteil der Kontosicherheit.
Was bedeutet STRD?
STRD steht für Shadow Token via Remote Debug. Die Technik nutzt eine ferngesteuerte Browserinstanz, um innerhalb einer aktiven Sitzung zusätzliche Autorisierungen auszulösen und Zugriffstoken zu erlangen.
Welche Browser sind betroffen?
Die Technik richtet sich gegen Chromium basierte Browser. Das konkrete Schadprogramm wurde für Windows entwickelt. Das technische Prinzip könnte in angepasster Form auch auf anderen Betriebssystemen eingesetzt werden.
Welche Schritte sind bei einem Verdachtsfall erforderlich?
Organisationen sollten aktive Sitzungen beenden, verdächtige OAuth Berechtigungen entfernen, Token widerrufen und das Endgerät forensisch untersuchen. Zusätzlich sollten Browserstarts mit aktivierten Debugging Funktionen und ungewöhnliche API Zugriffe überprüft werden.