Ferramenta explora tokens OAuth para invadir contas Gmail corporativas
Uma nova ferramenta maliciosa batizada de Umbrij está sendo usada pelo grupo de cibercriminosos ToddyCat para invadir contas corporativas do Gmail sem precisar de usuário e senha. De acordo com pesquisadores da Kaspersky, o toolkit foi criado para explorar tokens OAuth e recursos de depuração remota em navegadores baseados em Chromium, permitindo o acesso silencioso a e-mails, calendários e outros serviços do Google por longos períodos.
Como funciona o ataque com tokens OAuth
O ataque se apoia em uma técnica chamada Shadow Token via Remote Debug (STRD). Em termos simples, quando o usuário faz login no Gmail em um navegador como Chrome ou outros derivados de Chromium e não encerra a sessão, o token OAuth permanece válido e ativo. Esse token é o que garante a autenticação contínua do usuário junto aos serviços do Google, mesmo sem digitar a senha novamente.
O Umbrij aproveita justamente essa característica. Os criminosos iniciam uma instância do navegador com a porta de depuração habilitada, conectam-se a ela remotamente e, a partir daí, passam a enviar requisições diretamente às APIs do Gmail e de outros serviços Google. Como o token já está autenticado, o acesso é concedido automaticamente, dispensando qualquer credencial adicional.
Na prática, os invasores conseguem ler, enviar e apagar e-mails, acessar calendários, arquivos armazenados na nuvem e até dados de contatos, como se fossem o próprio usuário, e muitas vezes sem gerar alertas de login suspeito, já que o acesso se dá a partir de uma sessão aparentemente legítima.
Automatização e escala dos ataques
Segundo o pesquisador da Kaspersky Andrey Gun’kin, o Umbrij foi desenvolvido para automatizar o processo de invasão. Em vez de depender de ações manuais dos atacantes a cada alvo, a ferramenta é capaz de repetir o mesmo fluxo de exploração em série, aumentando de forma significativa o volume e a frequência dos ataques.
Hoje o toolkit foca em ambientes Windows, mas os especialistas destacam que a arquitetura do Umbrij permite que ele seja facilmente adaptado para outros sistemas operacionais. Isso amplia o potencial de impacto, especialmente em empresas com ambientes híbridos ou com uso intensivo de notebooks e estações de trabalho de diferentes plataformas.
Além disso, o Umbrij solicita permissões extremamente amplas por meio das APIs, como acesso completo a e-mails, armazenamento em nuvem e listas de contatos. Uma vez concedidas ou exploradas por meio dos tokens ativos, essas permissões dão ao atacante um controle quase total sobre os dados do usuário no ecossistema Google.
Por que o ataque é difícil de detectar
Um dos pontos mais preocupantes é o nível de furtividade da técnica STRD. Como o acesso é feito usando um token já válido e uma sessão considerada legítima pelo Google, muitos mecanismos de segurança baseados apenas em detecção de logins anômalos acabam não identificando a atividade maliciosa.
Outro fator é o uso da porta de depuração do navegador, um recurso previsto para desenvolvedores. Em ambientes corporativos, esse tipo de comportamento geralmente não é esperado em máquinas comuns de funcionários. No entanto, se não houver monitoramento específico, a abertura dessa porta e o uso da interface de depuração podem passar despercebidos por soluções tradicionais de segurança.
O resultado é um cenário em que o invasor consegue manter o acesso por longos períodos, coletando informações, acompanhando comunicações sensíveis e, em alguns casos, usando a conta comprometida como ponto de apoio para novos ataques internos ou externos, como envio de e-mails de phishing com aparência legítima.
Recomendações de segurança para empresas
Os especialistas da Kaspersky recomendam uma série de medidas para reduzir o risco de exploração dessa técnica:
– Monitorar a execução de navegadores com a porta de depuração ativada, principalmente em estações que não façam parte de equipes de desenvolvimento ou QA.
– Realizar auditorias periódicas de todos os aplicativos e serviços de terceiros que possuem acesso às contas Google corporativas, revendo permissões concedidas e revogando o que não for estritamente necessário.
– Limitar ou desabilitar o uso de ferramentas de desenvolvedor em navegadores instalados nas máquinas de funcionários que não precisam desses recursos para suas funções.
– Estabelecer políticas mais rígidas para sessões persistentes, incentivando o logout de contas corporativas ao fim do expediente ou após períodos de inatividade.
– Integrar logs de atividades em contas Google às plataformas de monitoramento e correlação de eventos de segurança, facilitando a identificação de padrões anômalos.
A importância de gerenciar tokens OAuth
O caso do Umbrij evidencia um ponto crítico muitas vezes negligenciado: a gestão de tokens OAuth. Em boa parte das organizações, existe um grande número de aplicações e serviços com acesso contínuo às contas corporativas de Google Workspace, muitas vezes com permissões amplas e sem revisão periódica.
Tokens válidos, esquecidos ou associados a aplicativos pouco utilizados podem virar um vetor ideal para ataques furtivos. O monitoramento desses tokens, sua expiração, renovação e revogação precisam ser tratados como parte essencial da estratégia de segurança, e não apenas como detalhe técnico.
Criar processos internos para revisar regularmente quais apps possuem acesso às contas, quais escopos de permissão são realmente necessários e quem é o responsável por aprovar essas integrações é uma forma eficaz de reduzir a superfície de ataque.
Evolução do grupo ToddyCat
O grupo ToddyCat, associado ao uso do Umbrij, é apontado pelos analistas como altamente motivado e em constante evolução técnica. A adoção de uma técnica refinada como STRD mostra que os operadores não estão apenas repetindo ataques conhecidos, mas investindo em novas formas de contornar defesas e explorar funcionalidades legítimas de software para fins maliciosos.
Esse tipo de adversário tende a adaptar rapidamente suas ferramentas diante de novas barreiras, o que significa que as empresas precisam encarar a proteção como um processo contínuo, e não como um projeto pontual. Controles que funcionam hoje podem se tornar insuficientes em pouco tempo diante de novas variantes de ferramentas como o Umbrij.
Boas práticas adicionais para proteger contas Gmail corporativas
Além das recomendações específicas para tokens OAuth e portas de depuração, algumas boas práticas mais amplas ajudam a mitigar o risco:
– Habilitar autenticação em duas etapas (MFA) em todas as contas corporativas, mesmo sabendo que o ataque em questão tenta justamente contornar o uso de credenciais.
– Implementar políticas de acesso condicional, restringindo logins e uso de contas a dispositivos gerenciados e redes confiáveis.
– Utilizar navegadores corporativos configurados centralmente, com políticas que controlem o uso de extensões, ferramentas de desenvolvedor e portas de depuração.
– Treinar usuários para reconhecer comportamentos estranhos nas contas, como mensagens enviadas sem conhecimento, eventos desconhecidos no calendário ou acessos relatados em horários e locais incomuns.
– Integrar a área de TI e o time de segurança para que mudanças em desenvolvimento, testes e uso de ferramentas de depuração sejam acompanhadas de perto.
Riscos para a confidencialidade e continuidade do negócio
O comprometimento de contas Gmail corporativas vai muito além da exposição de e-mails. Em muitas empresas, essas contas estão ligadas a fluxos de aprovação, documentação de projetos, informações de clientes, credenciais de acesso a outros sistemas e inúmeros dados estratégicos.
Um atacante com acesso prolongado a uma conta pode:
– Mapear a estrutura organizacional interna.
– Obter detalhes sobre negociações, contratos e condições comerciais.
– Interceptar anexos sensíveis, como planilhas financeiras ou relatórios internos.
– Enviar instruções fraudulentas se passando por executivos ou gestores.
– Usar a conta comprometida para movimentar lateralmente dentro do ambiente da empresa.
Esse cenário mostra que a proteção de contas de e-mail não pode ser vista de maneira isolada, mas como parte central da defesa do negócio como um todo.
Preparando-se para ataques mais sofisticados
Ferramentas como o Umbrij indicam uma tendência clara: os atacantes estão explorando recursos legítimos de plataformas, APIs e navegadores, em vez de confiarem apenas em malware tradicional. Isso dificulta a diferenciação entre comportamento normal e malicioso e exige um nível mais alto de visibilidade e contextualização dos eventos.
Organizações que dependem apenas de antivírus e firewalls perimetrais ficam em desvantagem diante de ataques que exploram credenciais, tokens e integrações de aplicações. A adoção de soluções de monitoramento de comportamento, análise de eventos em tempo quase real e políticas de “menor privilégio” para acessos tornam-se elementos fundamentais.
Conclusão: foco em visibilidade e controle de acesso
A descoberta do Umbrij e da técnica Shadow Token via Remote Debug reforça o alerta: proteger o ambiente corporativo hoje passa necessariamente por monitorar de perto o uso de tokens OAuth, as autorizações concedidas a aplicativos externos e o comportamento dos navegadores internos.
Mais do que investir em novas ferramentas, é essencial revisar processos, endurecer políticas de acesso, auditar integrações com frequência e garantir que o time de segurança tenha visibilidade real sobre como as contas Google são usadas no dia a dia. Somente assim será possível reduzir o espaço de manobra de grupos como o ToddyCat e mitigar o risco de invasões silenciosas a contas Gmail corporativas.