Voler un mot de passe, c’est vieux jeu. Détourner directement le mécanisme censé sécuriser vos connexions, voilà qui a plus de panache. C’est la méthode d’Umbrij, un nouvel outil attribué au groupe ToddyCat et décortiqué par les chercheurs de Kaspersky. Sa spécialité : abuser du protocole OAuth pour se faufiler dans les comptes Gmail sans jamais avoir besoin du mot de passe de la victime.
Points clés
- Kaspersky attribue le malware Umbrij au groupe de cyberespionnage ToddyCat.
- Umbrij lance un Chromium en mode headless pour capter un code d’autorisation OAuth Gmail.
- Le code est échangé contre des tokens d’accès permettant de lire la messagerie via l’API Google.
- La méthode contourne les défenses classiques en évitant de manipuler le mot de passe.
Un Chromium fantôme au service de l’espionnage
Umbrij ne bricole pas. Le malware lance une instance de Chromium en mode headless (sans interface graphique, invisible pour l’utilisateur) puis orchestre un flux OAuth pour récupérer un code d’autorisation Gmail. Ce code est ensuite échangé contre des jetons d’accès, ces fameux tokens qui ouvrent la porte de la messagerie via l’API Google. Une fois les jetons en poche, l’attaquant consulte les courriels comme s’il était l’utilisateur légitime.
L’astuce est redoutable parce qu’elle contourne une bonne partie des défenses classiques. Pas de mot de passe intercepté, pas forcément d’alerte de connexion suspecte : le malware exploite un mécanisme conçu justement pour éviter de manipuler les identifiants en clair.
ToddyCat, un habitué du long jeu
ToddyCat n’est pas un nouveau venu. Ce groupe, associé à des campagnes de cyberespionnage visant des entités gouvernementales et industrielles en Asie et en Europe, cultive une préférence pour les outils discrets et l’exfiltration au long cours. Umbrij s’inscrit dans cette logique : plutôt que de forcer la porte bruyamment, on emprunte les clés que le système distribue lui-même.
Pour les défenseurs, la leçon est peu réjouissante. Surveiller les authentifications OAuth, traquer les processus Chromium lancés sans interface et auditer les jetons d’accès actifs deviennent des réflexes nécessaires. Le protocole OAuth n’est pas fautif en soi, mais sa souplesse offre un terrain de jeu confortable à qui sait la retourner contre l’utilisateur.
