• Электронная почта остается основным средством служебной переписки в компаниях. Ее мо...
• Электронная почта остается основным средством служебной переписки в компаниях. Ее можно организовать как с помощью собственной инфраструктуры (например, развернув Microsoft Exchange Server), так и через облачные почтовые сервисы, такие как Microsoft 365 или Gmail. При этом в некоторых организациях нет доменного доступа к облачной почте. Как следствие, хакеры, взломавшие домен, не получают автоматически доступ к переписке и прибегают к дополнительным техникам, чтобы ее прочитать. • В исследовании по ссылкам ниже вы узнаете о том, как APT-группа ToddyCat развивала свои методы для получения скрытого доступа к служебной переписке сотрудников целевых компаний. • В первой части рассмотрены инциденты, которые происходили во второй половине 2024 - начале 2025 года: • TomBerBil на PowerShell: • Детектирование. • Кража писем из Outlook: • TCSectorCopy; • XstReader; • Детектирование. • Кража токенов доступа из Outlook: • Детектирование. • Во второй части исследования подробно описан механизм новой атаки и инструмент Umbrij, который используется для компрометации корпоративной переписки в сервисе Gmail. Такая атака позволяет ToddyCat с помощью браузера пользователя получить токены для протокола авторизации OAuth 2.0, которые можно использовать вне периметра скомпрометированной инфры для доступа к корп. почте. • Umbrij: • Запуск; • Подготовка окружения; • Получение кода авторизации; • Результаты работы. • Детектирование: • DLL sideloading; • Запуск браузера; • Отзыв стороннего доступа. • Уменьшение рисков. • Выводы. #Исследование #Security