近日，有多個(gè)竊取信息的惡意軟件家族正在濫用一個(gè)未記錄的名為 "MultiLogin "的谷歌 OAuth 端點(diǎn)恢復(fù)過(guò)期的身份驗(yàn)證 cookie 。通過(guò)這種方式黑客可以獲取到用戶(hù)賬戶(hù)信息，即使賬戶(hù)密碼已被重置仍能成功登陸。

會(huì)話(huà) cookie 是一種特殊類(lèi)型的瀏覽器 cookie，其中包含身份驗(yàn)證信息，允許用戶(hù)在不輸入憑據(jù)的情況下自動(dòng)登錄網(wǎng)站和服務(wù)。這類(lèi) cookie 的儲(chǔ)存時(shí)間有限，因此如果賬戶(hù)被盜，威脅者無(wú)法無(wú)限期地使用它們登錄賬戶(hù)。

但在2023年11月下旬，Lumma和Rhadamanthys黑客曾聲稱(chēng)可以恢復(fù)在攻擊中被盜的過(guò)期谷歌身份驗(yàn)證cookie，即使合法所有者已經(jīng)注銷(xiāo)、重置密碼或會(huì)話(huà)過(guò)期，這些 cookie 仍可讓網(wǎng)絡(luò)犯罪分子在未經(jīng)授權(quán)的情況下訪問(wèn)谷歌賬戶(hù)。

利用谷歌 OAuth 端點(diǎn)

CloudSEK 研究人員上周五（12月29日）發(fā)布的一份報(bào)告進(jìn)一步揭示了這個(gè)零日漏洞的工作原理，并闡述了該漏洞的被大規(guī)模利用的嚴(yán)重后果。

2023 年 10 月 20 日，一個(gè)名為 PRISMA 的威脅行為者首次披露了該漏洞，他在 Telegram 上發(fā)布消息稱(chēng)發(fā)現(xiàn)了一種恢復(fù)過(guò)期 Google 身份驗(yàn)證 cookie 的方法。

在對(duì)該漏洞進(jìn)行逆向工程后，CloudSEK 發(fā)現(xiàn)它使用了一個(gè)名為 "MultiLogin "的未注明谷歌 OAuth 端點(diǎn)，該端點(diǎn)通過(guò)接受賬戶(hù) ID 和 auth-login 標(biāo)記向量來(lái)同步不同 Google 服務(wù)之間的帳戶(hù)。

此請(qǐng)求用于在多個(gè) Google 網(wǎng)站（例如 YouTube）的 Google 身份驗(yàn)證 cookie 中設(shè)置瀏覽器中的 Chrome 帳戶(hù)。 這個(gè)請(qǐng)求是 Gaia Auth API 的一部分，只要 cookie 中的帳戶(hù)與瀏覽器中的帳戶(hù)不一致就會(huì)觸發(fā)。

CloudSEK 表示，濫用該終端的信息竊取惡意軟件會(huì)提取登錄到谷歌賬戶(hù)的 Chrome 配置文件的 tokens 和賬戶(hù) ID。這些被盜信息包含兩個(gè)關(guān)鍵數(shù)據(jù)：service (GAIA ID) 和 encrypted_token。

加密令牌使用存儲(chǔ)在 Chrome 瀏覽器 "Local State" 文件中的加密密鑰進(jìn)行解密。同樣的加密密鑰也用于解密瀏覽器中保存的密碼。

通過(guò)利用竊取的 token，GAIA 與多重登錄端點(diǎn)配對(duì)，威脅行為者可以重新生成過(guò)期的 Google Service cookies，并保持對(duì)受損賬戶(hù)的持久訪問(wèn)。

使用令牌：GAIA對(duì)從文本文件中讀取以生成對(duì)MultiLogin的請(qǐng)求來(lái)源：CloudSEK

CloudSek 研究員 Pavan Karthick 表示，他們對(duì)該漏洞進(jìn)行了逆向工程，并能夠使用它來(lái)重新生成過(guò)期的 Google 身份驗(yàn)證 cookie，如下所示：

重置密碼后，cookie再生成功來(lái)源:CloudSEK

Karthick 解釋稱(chēng)，如果用戶(hù)重置其 Google 密碼，身份驗(yàn)證 cookie 只能重新生成一次。否則，它可以多次重新生成，從而提供對(duì)帳戶(hù)的持久訪問(wèn)。

惡意軟件開(kāi)發(fā)者急于添加漏洞

Lumma stealer 于 11 月 14 日首次利用了該漏洞，其開(kāi)發(fā)人員采用了黑盒技術(shù)，如用私鑰加密 token:GAIA 對(duì)，以向競(jìng)爭(zhēng)對(duì)手隱藏這一機(jī)制，并防止復(fù)制該功能。

Radamanthys 是第一個(gè)在 11 月 17 日效仿的人；此后還有 12 月 1 日的 Stealc、12 月 11 日的 Medusa、12 月 12 日的 RisePro 和 12 月 26 日的 Whitesnake。因此，目前至少有 6 個(gè)信息竊取者聲稱(chēng)能夠使用此 API 端點(diǎn)重新生成 Google cookie。

Lumma 還發(fā)布了該漏洞的更新版本：轉(zhuǎn)而使用 SOCKS 代理來(lái)逃避 Google 的濫用檢測(cè)措施，并在惡意軟件和 MultiLogin 端點(diǎn)之間實(shí)現(xiàn)加密通信；以抵消谷歌的緩解措施。

由于Google尚未證實(shí)MultiLogin端點(diǎn)被濫用，因此目前該漏洞的利用狀況及其緩解措施仍不清楚。