Les logiciels malveillants voleurs d’informations profitent activement d’un point de terminaison Google OAuth non document\u00e9 nomm\u00e9 MultiLogin pour d\u00e9tourner les sessions utilisateur et permettre un acc\u00e8s continu aux services Google m\u00eame apr\u00e8s une r\u00e9initialisation du mot de passe.<\/p>\n
Selon CloudSEK, le exploit critique<\/a> facilite la persistance de la session et la g\u00e9n\u00e9ration de cookies, permettant aux acteurs malveillants de maintenir l’acc\u00e8s \u00e0 une session valide de mani\u00e8re non autoris\u00e9e.<\/p>\n La technique a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois par un acteur mena\u00e7ant nomm\u00e9 PRISMA le 20 octobre 2023 sur sa cha\u00eene Telegram. Il a depuis \u00e9t\u00e9 int\u00e9gr\u00e9 \u00e0 diverses familles de logiciels malveillants en tant que service (MaaS), telles que Lumma, Rhadamanthys, Stealc, Meduza, RisePro et WhiteSnake.<\/p>\n Le point de terminaison d’authentification MultiLogin est principalement con\u00e7u pour synchroniser les comptes Google entre les services lorsque les utilisateurs se connectent \u00e0 leurs comptes dans le navigateur Web Chrome (c’est-\u00e0-dire, profils<\/a>). <\/p>\n Une ing\u00e9nierie inverse du code de Lumma Stealer a r\u00e9v\u00e9l\u00e9 que la technique cible “la table token_service de Chrome de WebData pour extraire les jetons et les identifiants de compte des profils Chrome connect\u00e9s”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Pavan Karthick M. “Ce tableau contient deux colonnes cruciales\u00a0: service (GAIA ID) et approved_token.”<\/p>\n Cette paire jeton\u00a0:\u00a0ID GAIA est ensuite combin\u00e9e avec le point de terminaison MultiLogin pour r\u00e9g\u00e9n\u00e9rer les cookies d’authentification Google.<\/p>\n Karthick a d\u00e9clar\u00e9 \u00e0 The Hacker News que trois sc\u00e9narios diff\u00e9rents de g\u00e9n\u00e9ration de jetons et de cookies ont \u00e9t\u00e9 test\u00e9s\u00a0:<\/p>\n Lorsqu’il a \u00e9t\u00e9 contact\u00e9 pour commenter, Google a reconnu l’existence de la m\u00e9thode d’attaque, mais a not\u00e9 que les utilisateurs peuvent r\u00e9voquer les sessions vol\u00e9es en se d\u00e9connectant du navigateur concern\u00e9.<\/p>\n “Google est au courant de rapports r\u00e9cents faisant \u00e9tat d’une famille de logiciels malveillants volant des jetons de session”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 \u00e0 The Hacker News. “Les attaques impliquant des logiciels malveillants qui volent des cookies et des jetons ne sont pas nouvelles ; nous am\u00e9liorons r\u00e9guli\u00e8rement nos d\u00e9fenses contre de telles techniques et pour s\u00e9curiser les utilisateurs victimes de logiciels malveillants. Dans ce cas, Google a pris des mesures pour s\u00e9curiser tous les comptes compromis d\u00e9tect\u00e9s.”<\/p>\n “Cependant, il est important de noter une id\u00e9e fausse dans les rapports selon laquelle les jetons et les cookies vol\u00e9s ne peuvent pas \u00eatre r\u00e9voqu\u00e9s par l’utilisateur”, ajoute-t-il. “C’est incorrect, car les sessions vol\u00e9es peuvent \u00eatre invalid\u00e9es en se d\u00e9connectant simplement du navigateur concern\u00e9, ou r\u00e9voqu\u00e9es \u00e0 distance via le compte de l’utilisateur. page des appareils<\/a>. Nous continuerons de surveiller la situation et de fournir des mises \u00e0 jour si n\u00e9cessaire. \u00bb<\/p>\n La soci\u00e9t\u00e9 a en outre recommand\u00e9 aux utilisateurs d’activer Navigation s\u00e9curis\u00e9e am\u00e9lior\u00e9e<\/a> dans Chrome pour vous prot\u00e9ger contre le phishing et les t\u00e9l\u00e9chargements de logiciels malveillants.<\/p>\n “Il est conseill\u00e9 de changer les mots de passe afin que les acteurs malveillants n’utilisent pas les flux d’authentification de r\u00e9initialisation des mots de passe pour restaurer les mots de passe”, a d\u00e9clar\u00e9 Karthick. “En outre, il convient de conseiller aux utilisateurs de surveiller l’activit\u00e9 de leur compte pour d\u00e9tecter les sessions suspectes provenant d’adresses IP et d’emplacements qu’ils ne reconnaissent pas.”<\/p>\n “La clarification de Google est un aspect important de la s\u00e9curit\u00e9 des utilisateurs”, a d\u00e9clar\u00e9 Alon Gal, co-fondateur et directeur de la technologie de Hudson Rock, qui avait auparavant divulgu\u00e9<\/a> les d\u00e9tails de l’exploit \u00e0 la fin de l’ann\u00e9e derni\u00e8re.<\/p>\n “Cependant, l’incident met en lumi\u00e8re un exploit sophistiqu\u00e9 qui pourrait remettre en question les m\u00e9thodes traditionnelles de s\u00e9curisation des comptes. Bien que les mesures de Google soient utiles, cette situation met en \u00e9vidence la n\u00e9cessit\u00e9 de solutions de s\u00e9curit\u00e9 plus avanc\u00e9es pour contrer l’\u00e9volution des cybermenaces, comme dans le cas des voleurs d’informations qui sont extr\u00eamement populaires parmi les cybercriminels de nos jours. \u00bb<\/p>\n (L’histoire a \u00e9t\u00e9 mise \u00e0 jour apr\u00e8s la publication pour inclure des commentaires suppl\u00e9mentaires de CloudSEK et Alon Gal.)<\/em><\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Logiciel-malveillant-utilisant-Google-MultiLogin-Exploit-pour-conserver-lacces-malgre.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
\n
\n
<\/a><\/center><\/div>\n