Publicado en

Umbrij: El nuevo malware de ToddyCat que compromete Gmail mediante el abuso de OAuth

•Publicado enAmenazas y Malware

Una nueva amenaza para las comunicaciones corporativas

El grupo de amenazas persistentes avanzadas (APT) conocido como ToddyCat ha sido vinculado a un nuevo y sofisticado malware denominado Umbrij. Según informes recientes de Kaspersky, esta herramienta ha sido diseñada específicamente para obtener acceso no autorizado a la correspondencia de correo electrónico corporativo alojada en Gmail, explotando las APIs de Google y el protocolo de autorización OAuth 2.0.

¿Cómo funciona Umbrij? La técnica ‘Shadow Token’

A diferencia de los ataques de phishing tradicionales que buscan robar contraseñas, Umbrij utiliza una técnica avanzada denominada Shadow Token via Remote Debug (STRD). El proceso se divide en varias etapas técnicas críticas:

  • Modo Headless: El malware inicia una instancia del navegador (Chrome o Edge) en «modo sin cabeza» (headless), lo que significa que el navegador se ejecuta en segundo plano sin una interfaz gráfica visible para el usuario.
  • Depuración remota: Utiliza un puerto de depuración remota para tomar el control total de la sesión del navegador.
  • Explotación de sesiones activas: Si el usuario ya tiene una sesión de Gmail iniciada, Umbrij aprovecha esa autenticación existente para solicitar un código de autorización de OAuth sin que la víctima lo note.
  • Automatización con Puppeteer: Mediante la librería Puppeteer, el malware automatiza clics y selecciones de cuenta para conceder permisos totales a aplicaciones maliciosas que suplantan herramientas legítimas de migración de Google Workspace.

Evasión mediante DLL Side-loading

Para infiltrarse en los sistemas sin ser detectado por soluciones de seguridad básicas, Umbrij emplea DLL side-loading. Esta técnica consiste en abusar de ejecutables legítimos y firmados digitalmente (como componentes de Bitdefender o Visual Studio) para cargar la biblioteca dinámica (DLL) maliciosa. Al utilizar procesos de confianza para ejecutar su código, el atacante logra evadir muchas alertas de comportamiento sospechoso.

Impacto empresarial y riesgo de datos

Una vez que el atacante obtiene el token de acceso, tiene vía libre para leer correos, acceder a contactos, calendarios y archivos en Google Drive. Para una organización, esto representa un riesgo crítico de espionaje industrial, filtración de datos sensibles y compromiso de la propiedad intelectual. La automatización de este proceso permite a ToddyCat escalar sus ataques de manera eficiente, afectando a múltiples perfiles dentro de una misma compañía en poco tiempo.

Recomendaciones de seguridad y mitigación

Desde el blog de Intedya, recomendamos a los responsables de seguridad de la información (CISO) y administradores de sistemas tomar las siguientes medidas preventivas:

  1. Auditoría de aplicaciones de terceros: Revisar periódicamente las conexiones de aplicaciones en las cuentas de Google de la organización (myaccount.google.com/connections).
  2. Revocación de permisos: Prestar especial atención a aplicaciones llamadas «Google Workspace Migration for Microsoft Outlook» o similares. Si no son utilizadas activamente por la empresa, deben ser revocadas de inmediato.
  3. Monitoreo de procesos: Implementar soluciones EDR (Endpoint Detection and Response) capaces de detectar el uso inusual de puertos de depuración remota en navegadores comerciales.
  4. Formación continua: Concienciar al personal sobre los riesgos de mantener sesiones abiertas de forma indefinida y la importancia de reportar comportamientos extraños en sus equipos de trabajo.

Fuentes