Minacce · 89 giorni fa
ToddyCat non sta più cercando di bucare l’endpoint per leggere la posta: sta riusando una sessione browser già autenticata per ottenere un token OAuth e spostare l’accesso dentro l’API di Google. Questo rompe l’idea che EPP ed EDR bastino a vedere il problema una volta che il browser dell’utente è già dentro e connesso a Gmail.
Kaspersky descrive Umbrij, un nuovo tool del gruppo, che si aggancia al browser Chromium in modalità headless tramite il remote debugging port, recupera il codice OAuth e lo scambia per un access token. Il risultato è accesso a Gmail tramite Google API con una chiave cloud-side che resta valida anche senza toccare di nuovo l’endpoint; il report pubblica anche hash di esempio e indicazioni di detection.
Per i team che difendono Google Workspace e ambienti Chromium, il punto è il cambio di piano: la persistenza non vive più sul host, ma nel token e nel traffico API. Se una sessione loggata o un grant viene catturato, il monitoraggio deve spostarsi sulla telemetria cloud, non solo sull’endpoint.
2 fonti che coprono questa storia
ToddyCat-Linked Umbrij Malware Abuses OAuth to Access Gmail via Google API
Kaspersky reports ToddyCat’s Umbrij abuses headless Chromium and OAuth flows to extract Gmail authorization codes, enabling access via tokens.
How the ToddyCat APT group gains access to Gmail accounts
The attack targeted OAuth authorization tokens, allowing threat actors to gain access to Google services.
Part of the PlainSec briefing for 2026-07-02