Sicherheitsforscher:innen haben ein neues Angriffswerkzeug der Hackergruppe ToddyCat entdeckt, das gezielt Gmail-Konten in Unternehmen ins Visier nimmt. Statt Zugangsdaten zu stehlen, übernimmt die Schadsoftware direkt eine bereits aktive Anmeldesitzung im Browser – klassische Passwortabfragen oder Warnmeldungen bleiben dabei aus. Besonders betroffen sind Windows-Systeme mit Chromium-basierten Browsern wie Chrome oder Edge.

Was ist passiert?

Kaspersky hat eine neue Angriffstechnik der mutmaßlich staatlich gesteuerten Hackergruppe ToddyCat identifiziert. Das Tool namens Umbrij nutzt eine technische Schnittstelle von Chromium-Browsern, den sogenannten Remote-Debugging-Port, um den Browser aus der Ferne zu steuern. Dabei bestätigt die Schadsoftware automatisch den Google-Anmeldedialog (OAuth) mit einem Klick auf „Zulassen“, ganz ohne dass Betroffene ihr Passwort erneut eingeben müssen. So gelangen die Angreifenden an E-Mails, Cloud-Speicher und Kontakte in Google Workspace.

Wie läuft ein solcher Angriff ab?

Damit Umbrij überhaupt aktiv werden kann, muss ein Windows-Rechner zunächst auf anderem Weg kompromittiert werden, etwa über eine Schadsoftware, die unbemerkt im Hintergrund läuft. Ist das System infiziert, sucht sich das Tool einen Chromium-Browser (Chrome, Edge & Co.), in dem bereits eine aktive Gmail-Sitzung besteht. Über den sogenannten Remote-Debugging-Port, eine eigentlich für Entwickler gedachte Schnittstelle, steuert die Schadsoftware den Browser dann aus der Ferne. Taucht ein Google-Anmeldedialog (OAuth) auf, klickt Umbrij automatisch auf „Zulassen“ ohne dass Betroffene ihr Passwort erneut eingeben müssen. Im Ergebnis erhalten die Angreifenden Zugriff auf E-Mails, Cloud-Speicher und Kontakte, ohne je an ein Passwort gekommen zu sein. Genau das macht die Methode so gefährlich: Es gibt keine verdächtige Phishing-Mail, keinen ungewöhnlichen Login-Alarm und keinen Moment, in dem Nutzende hätten misstrauisch werden können.

Wen betrifft das?

Im Fokus stehen vor allem Unternehmen und Organisationen, die für ihre E-Mail-Kommunikation und Datenablage auf Google Workspace setzen, also auf Gmail, Drive und die zugehörigen Kontaktdaten. Besonders gefährdet sind dabei Mitarbeitende, die mit Windows-Rechnern und Chromium-basierten Browsern wie Chrome, Edge oder Brave arbeiten, da die Angriffstechnik genau auf diese Kombination zugeschnitten ist.

Zusätzliches Risiko entsteht dort, wo Entwicklertools im Browser aktiviert sind oder es kaum eingeschränkte Browser-Richtlinien gibt. Das ist ein Umstand, um den sich in der Praxis vor allem IT-Abteilungen kümmern müssen. Auch wenn der Angriff auf Firmenkonten zielt, sind indirekt ebenso Privatpersonen betroffen, die ihr geschäftliches Google-Konto auf demselben Gerät nutzen wie ihre privaten Anwendungen.

Den vollständigen technischen Bericht finden Sie bei Kaspersky Securelist.