En octobre 2023, une Failles Inédites de Google OAuth a été révélée par un développeur connu sous le pseudonyme PRISMA, ouvrant la voie à la génération de cookies Google persistants par manipulation de jetons. Cette vulnérabilité permet à un attaquant d’accéder aux services Google, même après la réinitialisation du mot de passe d’un utilisateur.
Des chercheurs de Hudson Rock ont été parmi les premiers à alerter sur l’exploitation de cette faille zero-day. Une analyse approfondie réalisée par CloudSEK a révélé que cette exploitation repose sur un point de terminaison OAuth de Google non documenté, baptisé ‘MultiLogin’.
Ce point de terminaison MultiLogin est un mécanisme interne facilitant la synchronisation des comptes Google à travers différents services. Il reçoit un vecteur contenant les identifiants des comptes et les jetons d’authentification, permettant de gérer efficacement les sessions concurrentes ou de passer aisément entre différents profils d’utilisateurs.
Le 14 novembre, un logiciel malveillant nommé Lumma Infostealer a été identifié utilisant cette faille. Par la suite, d’autres malwares tels que Rhadamanthys, Risepro, Meduza, Stealc Stealer et plus récemment White Snake, ont intégré cette exploitation dans leurs fonctionnalités.
Les chercheurs ont découvert que ces malwares ciblent la table token_service de Chrome, dans la base de données WebData, pour extraire les jetons et les identifiants des comptes des profils Chrome connectés. La table contient deux colonnes cruciales : service (ID GAIA) et encrypted_token. Les tokens chiffrés sont déchiffrés en utilisant une clé de cryptage stockée dans l’état local de Chrome, dans le répertoire UserData, un procédé similaire au stockage des mots de passe.
L’exploit permet au malware Lumma de régénérer continuellement des cookies pour les services Google en manipulant la paire jeton:ID GAIA. Les experts ont souligné que cette technique fonctionne même après que les utilisateurs ont réinitialisé leurs mots de passe, permettant ainsi un accès prolongé et potentiellement inaperçu aux comptes et données des utilisateurs.
Une analyse de la chaîne agent-utilisateur trouvée dans le code source laisse supposer que l’origine de cette faille pourrait être un test de pénétration des services de Google Drive sur des appareils Apple. Le test imparfait de l’exploit a conduit à sa découverte.
À ce jour, Google n’a pas encore confirmé l’utilisation de cette faille zero-day dans le point de terminaison MultiLogin par des acteurs malveillants.
