ToddyCat'e bağlı Umbrij kötücül yazılımı, çaldığı OAuth token'larıyla şifre değişikliğine dayanıklı Gmail erişimi kazanıyor
Kaspersky araştırmacıları, devlet destekli casusluk grubu ToddyCat ile ilişkilendirilen yeni bir kötücül yazılım aracı olan Umbrij'i tespit etti. Araç, 'Shadow Token via Remote Debug' (STRD) adı verilen bir teknikle tarayıcıyı gizli uzaktan hata ayıklama modunda yönetip Google OAuth yetkilendirme kodu üretiyor, bunu erişim token'ına çeviriyor ve kurbanın Gmail hesabına doğrudan Google API üzerinden erişiyor. Elde edilen token, şifre değişikliği, cihaz sıfırlama ve çok faktörlü doğrulamayı yeniden kaydetme gibi standart kurtarma adımlarına dayanıklı kalabiliyor.
Devlet destekli bir casusluk grubuyla ilişkilendirilen yeni bir saldırı aracı, e-posta hesaplarına erişim için geleneksel kimlik avının ötesine geçen bir teknik kullanıyor.
STRD tekniği
Kaspersky’nin Securelist ekibi, APT grubu ToddyCat’e atfedilen Umbrij adlı aracı analiz etti. Araç, “Shadow Token via Remote Debug” (STRD) adı verilen bir yöntemle kurbanın tarayıcısını görünmez biçimde uzaktan hata ayıklama (remote debug) modunda çalıştırıyor, bu modu kullanarak bir Google OAuth yetkilendirme kodu üretiyor ve bu kodu bir erişim token’ına dönüştürüyor. Elde edilen token ile saldırgan, kurbanın Gmail hesabına doğrudan Google’ın resmi API’si üzerinden erişebiliyor — yani hesaba “giriş yapmadan”, meşru bir uygulama gibi davranarak.
Neden şifre değişikliği yetmiyor
Araştırmacılara göre bu şekilde elde edilen erişim token’ı, kurbanın şifresini değiştirmesine, cihazını sıfırlamasına veya çok faktörlü doğrulamayı yeniden kaydetmesine karşı dayanıklı kalabiliyor — çünkü token, oturum değil, uygulama-seviyesi bir yetkilendirmeye dayanıyor. Umbrij, sisteme bulaşmak için DLL sideloading tekniğini kullanıyor; kötü niyetli kütüphaneyi Bitdefender ConnectAgent, Visual Studio test araçları veya eski Google Desktop bileşenleri gibi imzalı ve güvenilir yürütülebilir dosyaların yanına yerleştiriyor.
Neden önemli
Bu saldırı sınıfı, kullanıcıların hesap güvenliği konusunda alıştığı standart kurtarma reflekslerinin (şifre değiştir, cihazı sıfırla) her zaman yeterli olmadığını gösteriyor. Güvenlik uzmanları, Google hesabı bağlı üçüncü taraf uygulama ve OAuth yetkilerinin (özellikle “Google Workspace Migration/Sync for Microsoft Outlook” gibi az bilinen ama geniş yetkili uygulamaların) düzenli olarak gözden geçirilip kullanılmayanların iptal edilmesini öneriyor.
Çalınan bir OAuth erişim token'ının, kullanıcının şifresini değiştirmesi veya cihazını sıfırlaması gibi standart hesap kurtarma adımlarına dayanıklı kalabilmesi, kurumların ve bireylerin bağlı üçüncü taraf uygulama yetkilerini düzenli olarak gözden geçirmesinin neden kritik olduğunu gösteriyor.
- The Hacker News — ToddyCat-Linked Umbrij Malware Abuses OAuth Tokens to Access Gmail · 2026-07-18
- Securelist (Kaspersky) — ToddyCat APT: Umbrij tool and OAuth token abuse · 2026-07-18
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.