ToddyCat trasforma una sessione Gmail in accesso persistente
ToddyCat non sta più cercando di bucare l’endpoint per leggere la posta: sta riusando una sessione browser già autenticata per ottenere un token OAuth e spostare l’accesso dentro l’API di Google. Questo rompe l’idea che EPP ed EDR bastino a vedere il problema una volta che il browser dell’utente è già dentro e connesso a Gmail.
Kaspersky descrive Umbrij, un nuovo tool del gruppo, che si aggancia al browser Chromium in modalità headless tramite il remote debugging port, recupera il codice OAuth e lo scambia per un access token. Il risultato è accesso a Gmail tramite Google API con una chiave cloud-side che resta valida anche senza toccare di nuovo l’endpoint; il report pubblica anche hash di esempio e indicazioni di detection.
Per i team che difendono Google Workspace e ambienti Chromium, il punto è il cambio di piano: la persistenza non vive più sul host, ma nel token e nel traffico API. Se una sessione loggata o un grant viene catturato, il monitoraggio deve spostarsi sulla telemetria cloud, non solo sull’endpoint.