Kyberzločinci zneužívají kritickou chybu ke krádežím Google účtů: proč o tom Google mlčí?

OAuth je ověřovací protokol, který umožňuje aplikacím získat přístup k uživatelským účtům Google, a tím i k souvisejícím datům. Protokol zprostředkuje uživatelské přihlášení prostřednictvím účtu Google a poskytne aplikaci přístup k informacím účtu aniž by aplikace znala heslo uživatele. MultiLogin se pak používá pro možnost současného přihlášení více účtů na stejných internetových stránkách.

A přesně tyto dvě metody hackeři zneužívají k obnovení souborů cookies, kterým už vypršela platnost, a následnému neoprávněnému přihlášení k účtům a jejich ovládnutí.

Tato zranitelnost se dá zneužít i v případech, kdy byl proveden reset hesla. Podle bezpečnostních expertů se v uplynulých týdnech stále častěji objevuje malware, který uvedenou bezpečnostní díru zneužívá k automatickému přihlašování k webovým stránkám a službám bez nutnosti zadávat přihlašovací údaje. To následně umožňuje krást data.

Google o zranitelnosti pravděpodobně ví, ale ještě se k ní nevyjádřil
 

Samotný Google se k této bezpečnostní díře zatím nevyjádřil. Přesto ale existují jasné náznaky, že o ní ví. Malware, který ji zneužívá, byl v posledních týdnech opakovaně upravován a aktualizován, aby dokázal obejít záplaty poskytované Googlem. Internetový gigant se k případu pravděpodobně nevyjádří do té doby, dokud zranitelnost bude existovat a nepodaří se ji úspěšně záplatovat.

Jak vlastně tento zero-day problém funguje, vysvětlují experti ze společnosti CloudSEK, a také ukazují, jaký je celkový rozsah jeho zneužití.

Zranitelnost je klasifikována jako kritická, protože umožňuje vytvářet soubory cookie společnosti Google s dlouhou expirační dobou, a to pomocí manipulace s tokeny. Tím vlastně poskytuje neoprávněným osobám trvalý přístup k účtům Google jiných uživatelů.

Kyberzločinci také mohou získat přístup k řadě dalších služeb a nepozorovaně krást data. Dokud společnost Google tuto bezpečnostní mezeru sama neodstraní, je ochrana proti ní jen velmi malá.

Zdroj: Bleeping Computer, CloudSEK