گروه ToddyCat با استقرار بدافزار جدید Umbrij و سوءاستفاده از OAuth و Gmail API، به‌صورت مخفیانه به ایمیل‌های قربانیان دسترسی پیدا می‌کند.

 دسترسی به Gmail از طریق Google API 

استخراج توکن‌های OAuth 

استفاده از Remote Debugging Port مرورگر 

جستجو و استخراج ایمیل‌ها 

دانلود محتوای پیام‌ها و پیوست‌ها 

شناسایی حساب‌های فعال در مرورگر 

مدیریت چندین حساب Gmail 

توابع کمکی برای Debug و انتخاب حساب کاربری 

استفاده از ارتباطات قانونی Google برای پنهان‌سازی فعالیت 

مهم‌ترین ویژگی Umbrij این است که بدون سرقت مستقیم رمز عبور، از توکن‌های معتبر OAuth برای دسترسی به صندوق پستی قربانی استفاده می‌کند.

زنجیره حمله شامل مراحل زیر است: 

ارسال فایل جاوااسکریپت با نامی شبیه اسناد (مانند 

transcript.pdf.js

) 

اجرای فایل توسط Windows Script Host (WSH) 

اجرای PowerShell با دور زدن Execution Policy 

دانلود Payload مرحله دوم از Google Blogger 

اجرای Umbrij 

فعال‌سازی Remote Debugging مرورگر Chromium 

استخراج توکن OAuth 

دسترسی به Gmail از طریق Google Gmail API 

این کمپین از سرویس‌های قانونی Google برای کاهش احتمال شناسایی استفاده می‌کند. 

در صورت موفقیت حمله: 

دسترسی کامل به ایمیل‌های Gmail 

سرقت اسناد و پیوست‌ها 

سوءاستفاده از توکن‌های OAuth 

جاسوسی بلندمدت 

پنهان‌سازی ارتباطات در ترافیک قانونی Google 

دور زدن بسیاری از سامانه‌های امنیتی مبتنی بر تشخیص ترافیک مشکوک 

استفاده از Gmail API به‌جای پروتکل‌های سنتی ایمیل، تشخیص این فعالیت را برای بسیاری از سامانه‌های امنیتی دشوارتر می‌کند.

روش‌های مشاهده‌شده: 

 اجرای JavaScript توسط WSH 

 اجرای PowerShell 

 دانلود Payload از Blogger 

 استفاده از مرورگر قربانی برای دسترسی به Gmail 

در نمونه‌های مشاهده‌شده، تمرکز اصلی بر سرقت داده‌ها بوده و مکانیزم‌های ماندگاری پیچیده نسبت به سایر بدافزارهای APT کمتر مشاهده شده است.

اقدامات فوری 

غیرفعال‌سازی Remote Debugging در مرورگرها 

پایش اجرای 

mshta.exe

 ،

wscript.exe

 و 

powershell.exe

بررسی دسترسی‌های غیرعادی OAuth 

بازبینی مجوزهای Google Workspace