Durch eine Schwachstelle in einem OAuth-Endpunkt können sich Cyberkriminelle dauerhaft Zugriff auf das Google-Konto einer Zielperson verschaffen.



Schon im November 2023 hatten die Entwickler der Malware Lumma und Rhadamanthys neue Features eingeführt, die eine Reaktivierung abgelaufener Google-Sitzungscookies ermöglichen sollten. Sicherheitsforscher von CloudSEK haben inzwischen die Schwachstelle identifiziert, die die böswilligen Akteure dafür ausnutzen. Der Angriff erfolgt wohl über einen undokumentierten Google-OAuth-Endpunkt namens Multilogin.

Erstmals enthüllt wurde der Exploit dem Bericht der Forscher zufolge am 20. Oktober 2023 von einem Entwickler namens Prisma via Telegram. Später wurde er in mehrere Infostealer eingebaut, darunter Lumma, Rhadamanthys, Risepro, Meduza, Stealc Stealer und White Snake. Weitere Malware-Entwickler arbeiten wohl an entsprechenden Updates.

Durch den Exploit sei es möglich, abgelaufene Sitzungscookies durch Token-Manipulation wiederherzustellen und dadurch einen dauerhaften Zugriff auf die Google-Dienste einer Zielperson zu erlangen - selbst wenn diese ihr Passwort zurückgesetzt habe. Voraussetzung dafür ist jedoch, dass die Malware Zugang zu einem bestehenden Sitzungscookie erhält.