Grupo ToddyCat utiliza malware Umbrij para acessar e-mails corporativos
O grupo de ameaças avançadas conhecido como ToddyCat desenvolveu um novo malware chamado Umbrij, que visa comprometer o acesso a e-mails corporativos hospedados no Gmail por meio da API do Google. Segundo um relatório da Kaspersky, o Umbrij utiliza o protocolo OAuth 2.0 para obter tokens de autorização, permitindo que os atacantes acessem recursos de e-mail de forma furtiva. O malware opera em navegadores baseados em Chromium, explorando sessões ativas do Gmail. Ao lançar o navegador em modo headless e se conectar a uma porta de depuração remota, o Umbrij consegue capturar o código de autorização OAuth e trocá-lo por um token de acesso, comprometendo assim as comunicações de e-mail corporativas. O ataque é facilitado por técnicas como DLL side-loading, onde executáveis legítimos são abusados para iniciar o malware. A Kaspersky recomenda que as organizações revisem os códigos de autorização concedidos a aplicações e revoguem acessos não utilizados para mitigar os riscos. A automação do Umbrij aumenta a escala e a frequência dos ataques, evidenciando as habilidades técnicas avançadas do grupo ToddyCat.