MultiLogin: Le cybergang ransomware integrano l’API segreta di Google Chrome nei loro malware

Redazione RHC : 8 Gennaio 2024 10:40

Alla fine di dicembre 2023 abbiamo scritto dell’abuso dell’API di Google Chrome non documentata da parte di software dannoso. Si noti che due operazioni di furto di dati, Lumma e Rhadamanthys , utilizzano le API per recuperare le credenziali di Google rubate durante gli attacchi.

In seguito a questo rapporto, anche altri quattro programmi ransomware – Stealc, Medusa, RisePro e Whitesnake – hanno iniziato a utilizzare una tecnica simile. La società di sicurezza CloudSEK ha scoperto che il malware utilizza l’API OAuth “MultiLogin” di Google. Tale utilizzo permette la creazione di nuovi cookie di autenticazione quando i cookie Google originali rubati dalla vittima scadono.

Questa API è progettata per sincronizzare gli account di diversi servizi Google. Il malware non ruba solo i cookie di autenticazione per i siti Google. Ruba anche un token speciale che può essere utilizzato per aggiornare o creare nuovi token di autenticazione. 

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

I ricercatori non sono riusciti a trovare ulteriori informazioni su questa API da Google. L’unica documentazione può essere trovata nel codice sorgente di Google Chrome.

Google nel suo comunicato conferma di essere a conoscenza della situazione, ma tratta il problema come un semplice furto di cookie tramite malware. L’azienda afferma di aggiornare regolarmente i suoi meccanismi di protezione e di aiutare gli utenti colpiti da malware.

Google consiglia agli utenti di disconnettersi dal proprio account Chrome sui dispositivi e di invalidare le sessioni attive tramite il menu I miei dispositivi. Questa operazione renderà il token di aggiornamento non valido per l’utilizzo con l’API. Inoltre Google consiglia di modificare la password, soprattutto se è stata utilizzata su altri siti.

Tuttavia, molti utenti interessati non sanno quando e come adottare le misure suggerite. Spesso vengono a conoscenza dell’infezione solo dopo che i loro account sono stati violati e utilizzati in modo improprio. Un esempio è il caso di un dipendente di Orange Spain, dove l’infezione è diventata nota solo dopo aver utilizzato credenziali rubate per accedere all’account aziendale e aver modificato la sua configurazione BGP, causando interruzioni nei servizi Internet.

Google sta attualmente avvisando le vittime dell’abuso dell’API. Rimangono domande su come verranno avvisate le future vittime e su come sapranno di uscire dal browser per revocare i token di autenticazione.

Molti esperti ritengono che la soluzione migliore sarebbe limitare l’accesso alle suddette API per impedirne lo sfruttamento. Tuttavia, al momento non ci sono informazioni che Google intenda adottare tali misure. Google non ha risposto alle domande sui suoi piani per combattere l’abuso delle API.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli