這篇文章將為大家分析近期由 APT 組織 ToddyCat 所使用的 Umbrij 惡意軟體。這款工具最值得關注的地方在於它並非簡單地竊取密碼，而是利用了現代 Web 認證機制 OAuth 2.0 的特性，結合瀏覽器自動化技術，在使用者毫不知情的情況下取得 Gmail 的完整存取權限。
對於工程師來說，理解這個攻擊路徑非常重要，因為它展示了即使有強大的認證機制，只要攻擊者能控制本地端環境，依然有辦法繞過多因素驗證（MFA）或登入流程。
攻擊的切入點：DLL Side-Loading
Umbrij 的進入方式採用了典型的 DLL Side-Loading 技巧。簡單來說，攻擊者會找一個具有數位簽章的合法執行檔（例如 Bitdefender 或 Microsoft Visual Studio 的元件），利用這些程式在載入 DLL 檔案時的搜尋順序漏洞，將惡意編寫的 Umbrij DLL 放置在同一目錄下，誘導合法程式載入惡意代碼。
這種做法能有效繞過許多防毒軟體的偵測，因為啟動過程是由一個「受信任」的合法程式發起的。
核心攻擊手法：Shadow Token via Remote Debug (STRD)
Umbrij 的核心目標是取得 Google API 的 OAuth Access Token。OAuth 2.0 是一種授權框架，允許第三方應用程式在不接觸使用者密碼的情況下，透過 Token（令牌）存取特定資源。
為了取得這個 Token，Umbrij 採取了以下步驟：
第一步：環境準備與權限複製 惡意軟體會先搜尋 explorer.exe 的進程並複製其 Token，以確保自己擁有目前登入使用者的完整權限。接著，它會掃描 Chrome 或 Edge 瀏覽器的使用者設定檔（User Profiles），確認使用者是否已登入 Google 帳號。
第二步：建立瀏覽器副本 為了不干擾使用者發現，Umbrij 會將瀏覽器的關鍵資料（如 Cookies、Local Storage、Network 狀態等）強制複製到一個隱藏的備份資料夾中。
第三步：啟動 Headless Browser 這是最關鍵的一步。Umbrij 會以 Headless Mode（無頭模式，即不顯示 UI 介面的瀏覽器）啟動瀏覽器，並載入剛才複製的設定檔。由於 Cookies 已經被複製，瀏覽器在啟動時會處於「已登入」狀態，直接跳過帳號密碼驗證與 MFA。
第四步：利用 Puppeteer 模擬操作 攻擊者使用 Puppeteer（一個能透過 Chrome DevTools Protocol 控制瀏覽器的 Node.js 函式庫）連接到瀏覽器的遠端除錯埠（Remote Debugging Port）。它會引導瀏覽器訪問 Google 的 OAuth 授權頁面，並偽裝成一個合法的遷移工具（例如 Google Workspace Migration for Microsoft Outlook）。
第五步：自動授權並獲取 Token 透過 JavaScript 模擬滑鼠點擊，Umbrij 會自動在背景幫使用者「同意」授權請求，授予該應用程式存取 Gmail、雲端硬碟、聯絡人等高權限。最後，授權碼（Authorization Code）會被傳回給攻擊者，並在後端交換成 Access Token。
攻擊結果與影響
一旦攻擊者拿到了 Access Token，他們就不再需要使用瀏覽器，而是直接透過 Google API 存取受害者的電子郵件。這意味著攻擊者可以靜默地讀取、下載或監控企業內部的所有郵件往來，而使用者在瀏覽器端完全看不到任何異常。
如何防禦與偵測
針對這種利用 OAuth 授權的攻擊，傳統的密碼更改可能無效，因為 Token 依然有效。建議採取以下措施：
定期審查第三方應用程式權限。使用者應前往 Google 帳號的安全性設定（myaccount.google.com/connections），檢查是否有不認識的應用程式，特別是名稱包含 Google Workspace Migration 或 Sync 的工具。如果公司內部並沒有使用這些遷移工具，應立即撤銷其存取權限。
監控異常的瀏覽器啟動行為。在企業端，可以監控是否有異常的瀏覽器啟動參數，例如出現 remote-debugging-port 或 --headless 標記且並非由開發人員操作。
加強端點防護。防止 DLL Side-Loading 的發生，限制未經授權的程式在 AppData 等路徑下執行。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。