Se ha demostrado un conjunto de m\u00e9todos de ataque novedosos contra Google Workspace y Google Cloud Platform que los actores de amenazas podr\u00edan aprovechar para realizar ataques de ransomware, exfiltraci\u00f3n de datos y recuperaci\u00f3n de contrase\u00f1as.<\/p>\n
“A partir de una \u00fanica m\u00e1quina comprometida, los actores de amenazas podr\u00edan progresar de varias maneras: podr\u00edan pasar a otras m\u00e1quinas clonadas con GCPW<\/a> instalado, obtener acceso a la plataforma en la nube con permisos personalizados o descifrar contrase\u00f1as almacenadas localmente para continuar su ataque m\u00e1s all\u00e1 del ecosistema de Google”, Martin Zugec, director de soluciones t\u00e9cnicas de Bitdefender, dicho<\/a> en un nuevo informe.<\/p>\n Un requisito previo para estos ataques es que el malhechor ya haya obtenido acceso a una m\u00e1quina local a trav\u00e9s de otros medios, lo que llev\u00f3 a Google a marcar el error como no elegible para arreglar<\/a> “ya que est\u00e1 fuera de nuestro modelo de amenaza y el comportamiento est\u00e1 en l\u00ednea con las pr\u00e1cticas de Chrome de almacenar datos locales”.<\/p>\n Sin embargo, la empresa rumana de ciberseguridad ha advertido que los actores de amenazas pueden explotar tales brechas para extender el compromiso de un \u00fanico punto final a una violaci\u00f3n en toda la red.<\/p>\n Los ataques, en pocas palabras, se basan en el uso por parte de una organizaci\u00f3n del Proveedor de credenciales de Google para Windows (GCPW), que ofrece administraci\u00f3n de dispositivos m\u00f3viles (DM<\/a>) e inicio de sesi\u00f3n \u00fanico (SSO<\/a>) capacidades.<\/p>\n Esto permite a los administradores administrar y controlar de forma remota los dispositivos Windows dentro de sus entornos de Google Workspace, adem\u00e1s de permitir a los usuarios acceder a sus dispositivos Windows utilizando las mismas credenciales que se utilizan para iniciar sesi\u00f3n en sus cuentas de Google.<\/p>\n GCPW est\u00e1 dise\u00f1ado para utilizar una cuenta de servicio local privilegiada denominada Administraci\u00f3n de ID y cuentas de Google (GAIA<\/a>) para facilitar sin problemas el proceso en segundo plano al conectarse a las API de Google para verificar las credenciales de un usuario durante el paso de inicio de sesi\u00f3n y almacenar un token de actualizaci\u00f3n para evitar la necesidad de volver a autenticarse.<\/p>\n Con esta configuraci\u00f3n implementada, un atacante con acceso a una m\u00e1quina comprometida puede extraer los tokens OAuth de actualizaci\u00f3n de una cuenta, ya sea del registro de Windows o del directorio de perfil de Chrome del usuario, y evitar las protecciones de autenticaci\u00f3n multifactor (MFA).<\/p>\n El token de actualizaci\u00f3n se utiliza posteriormente para crear una solicitud POST HTTP al punto final “https:\/\/www.googleapis[.]com\/oauth2\/v4\/token” para obtener un token de acceso, que, a su vez, se puede utilizar para recuperar, manipular o eliminar datos confidenciales asociados con la cuenta de Google.<\/p>\n Un segundo exploit se refiere a lo que se llama el movimiento lateral Golden Image, que se centra en implementaciones de m\u00e1quinas virtuales (VM) y aprovecha el hecho de que la creaci\u00f3n de una m\u00e1quina mediante la clonaci\u00f3n de otra m\u00e1quina con GCPW preinstalado hace que la contrase\u00f1a asociada con la cuenta GAIA sea clonado tambi\u00e9n.<\/p>\n “Si conoce la contrase\u00f1a de una cuenta local y las cuentas locales en todas las m\u00e1quinas comparten la misma contrase\u00f1a, entonces conoce las contrase\u00f1as de todas las m\u00e1quinas”, explic\u00f3 Zugec.<\/p>\n “Este desaf\u00edo de contrase\u00f1a compartida es similar a tener la misma contrase\u00f1a de administrador local en todas las m\u00e1quinas, algo que ha sido solucionado por la soluci\u00f3n de contrase\u00f1a de administrador local de Microsoft (VUELTAS<\/a>). “<\/p>\n El tercer ataque implica el acceso a credenciales de texto sin formato aprovechando el token de acceso adquirido mediante la t\u00e9cnica antes mencionada para enviar una solicitud HTTP GET a un punto final API no documentado y obtener la clave RSA privada necesaria para descifrar el campo de contrase\u00f1a.<\/p>\n “Tener acceso a credenciales en texto plano, como nombres de usuario y contrase\u00f1as, representa una amenaza m\u00e1s grave”, afirm\u00f3 Zugec. “Esto se debe a que permite a los atacantes hacerse pasar por usuarios leg\u00edtimos y obtener acceso sin restricciones a sus cuentas, lo que podr\u00eda conducir a una apropiaci\u00f3n total de la cuenta”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/Los-piratas-informaticos-podrian-aprovechar-Google-Workspace-y-la-plataforma.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n