Developer de malware diz conseguir restaurar cookies de autenticação expiradas do Google

O malware Lumma, conhecido pela sua atividade centrada no furto de informações, está a promover um novo recurso através do qual os cibercriminosos poderão alegadamente restaurar cookies expiradas do Google, podendo ser utilizadas para aceder sem autorização a contas do Google.

As cookies de sessão remetem para cookies específicas utilizadas para autorizar que uma sessão de navegação faça um login automático nos serviços de um site. Desta forma, estas cookies dão permissão a qualquer pessoa que os possua para entrar na conta do proprietário, o que leva a que a sua vida útil seja limitada por motivos de segurança com vista a evitar o seu uso indevido em caso de furto.

Neste sentido, a restauração dos cookies de sessão permitiria que os operadores do malware Lumma, também designado de LummaC2, obtivessem acesso não autorizado a qualquer conta do Google, mesmo depois de o seu proprietário tiver saído da conta ou de a sessão tiver expirado.

Alon Gal, da Hudson Rock, observou pela primeira vez uma publicação no fórum dos developers do malware, destacando uma atualização lançada no dia 14 de novembro. Esta alegava a “capacidade de restaurar cookies mortos utilizando uma chave de arquivos de restauração (aplica-se apenas aos cookies do Google)”. O novo recurso estava apenas disponível para os assinantes do plano “Corporativo” de nível mais alto, que custa aos cibercriminosos mil dólares por mês.

Além disto, o post no fórum esclarece também que cada chave pode ser utilizada duas vezes de forma que a restauração de cookies funcione apenas uma vez. Isto seria suficiente para lançar também ataques de grande dimensão a organizações que, de outra forma, seguem boas práticas de segurança.

O novo recurso, que terá sido alegadamente introduzido nos lançamentos recentes do malware Lumma, ainda não foi verificado por investigadores de segurança ou pela Google. Por esta razão, o seu bom funcionamento ou não permanece incerto.

Também o malware Rhadamanthys anunciou uma capacidade semelhante numa atualização recente, o que aumenta a probabilidade de os autores de malware haverem descoberto uma lacuna de segurança explorável.