Un nouveau malware est capable de voler vos informations en abusant d’un point de terminaison Google OAuth non documenté appelé “MultiLogin” pour restaurer des cookies d’authentification expirés et se connecter à des comptes Google, même si le mot de passe d’un compte a été réinitialisé.
Des pirates seraient à l’origine d’un nouveau malware permettant de contourner la sécurité de votre compte Google en utilisant des cookies. Ce logiciel malveillant peut accéder à votre compte même si vous modifiez votre mot de passe ou si vous activez l’authentification à deux facteurs.
Selon un rapport de BleepingComputer et une analyse détaillée de CloudSEK et Hudson Rock, ce logiciel malveillant exploite une vulnérabilité liée aux cookies dans Google Chrome.
Le logiciel malveillant commence par infecter votre ordinateur, puis vole et décrypte les jetons de connexion stockés dans la base de données locale de Chrome. Ces jetons sont utilisés par Chrome pour synchroniser votre compte entre les différents services Google.
CE LOGICIEL MALVEILLANT UTILISE LES COOKIES POUR VOLER VOTRE COMPTE
Le logiciel malveillant utilise ensuite ces jetons pour envoyer une requête à une API de Google et générer des cookies Google persistants et stables qui peuvent authentifier votre compte.
Ces cookies peuvent être utilisés par les attaquants pour accéder à votre compte à partir de n’importe quel appareil ou navigateur, sans avoir besoin de votre mot de passe ou de votre code de vérification.
La partie la plus alarmante de cette attaque est que les cookies peuvent être réautorisés en utilisant une clé provenant des fichiers de restauration que le logiciel malveillant crée sur votre bureau. Cela signifie que les cookies peuvent rester valides même après que vous ayez changé votre mot de passe.
De plus, les attaquants peuvent répéter ce processus plusieurs fois si vous n’êtes pas au courant de l’infection.
On sait que cette vulnérabilité a été exploitée par au moins six groupes de logiciels malveillants, qui la vendent sur le dark web. Elle aurait été découverte pour la première fois à la mi-novembre, et certains groupes affirment l’avoir mis à jour pour échapper aux contre-mesures mises en place par Google.
Les experts en sécurité conseillent aux utilisateurs d’analyser régulièrement votre bureau à l’aide d’un logiciel antivirus réputé et supprimer tout fichier suspect.
Vous pouvez également vérifier l’activité de votre compte Google et vous déconnecter de tout appareil ou navigateur que vous ne reconnaissez pas.
phandroid
