Cuentas corporativas de Gmail bajo riesgo: Kaspersky revela nueva técnica del grupo ToddyCat

Expertos en ciberseguridad de Kaspersky identificaron una nueva táctica utilizada por el grupo de amenaza avanzada persistente (APT) ToddyCat. Los atacantes buscan acceder a cuentas corporativas de Gmail sin necesidad de robar contraseñas de manera directa. La estrategia aprovecha las sesiones que permanecen abiertas en navegadores basados en Chromium para solicitar accesos a correos electrónicos, archivos en la nube y contactos empresariales.

Esta investigación proactiva de Kaspersky detalla cómo los criminales apuntan a las comunicaciones corporativas a través de la interfaz de programación de aplicaciones (API) del servicio de Google. Aunque el código malicioso detectado afecta principalmente a usuarios del sistema operativo Windows, los analistas advierten que el método posee el potencial de adaptarse a otras plataformas.

El mecanismo detrás del ataque STRD

La técnica recibió el nombre de Shadow Token via Remote Debug (STRD). El proceso resulta efectivo debido a una costumbre común en el entorno laboral: mantener la sesión de correo activa continuamente. Esta permanencia conserva una clave digital en el navegador que valida la identidad del usuario sin requerir autenticaciones constantes. ToddyCat interviene en este punto crítico para capturar el control de la sesión activa.

El grupo emplea un malware específico denominado Umbrij para abrir una conexión oculta. Esta herramienta utiliza funciones de depuración remota que los desarrolladores emplean habitualmente para realizar pruebas de software. Mediante este canal secreto, el software malicioso envía peticiones a los servidores de Gmail simulando la identidad del usuario autenticado.

Posteriormente, el programa solicita permisos extendidos sobre la cuenta afectada. El sistema automatizado del malware aprueba de forma autónoma las ventanas de consentimiento mediante la simulación de clics en la opción de autorización. De esta manera, los atacantes obtienen los códigos necesarios para extraer la información corporativa sin levantar sospechas inmediatas.

Impacto en la seguridad empresarial

El correo electrónico representa el núcleo operativo y de comunicación para la mayoría de las organizaciones. La vulneración de una cuenta institucional expone datos estratégicos, contratos y redes de contactos. Leandro Cuozzo, investigador de seguridad para América Latina en el equipo GReAT de Kaspersky, señala que este hallazgo marca un cambio relevante en las metodologías de los atacantes. El enfoque ya no depende exclusivamente del engaño al usuario o del robo de credenciales, sino de la manipulación de herramientas legítimas del propio navegador. Una cuenta comprometida funciona como una vía de acceso para el espionaje y la ejecución de ofensivas secundarias dentro de la infraestructura digital de la empresa.

Recomendaciones esenciales de protección

Para mitigar los riesgos asociados a la técnica STRD, los especialistas sugieren implementar las siguientes medidas tecnológicas y operativas:

• Finalización de sesiones activas: Es indispensable cerrar la sesión de las plataformas corporativas cuando concluya su uso. Esta práctica evita la permanencia de llaves digitales utilizables por terceros en navegadores web.
• Restricción de herramientas de desarrollo: Las políticas de TI deben deshabilitar las funciones de depuración avanzada en navegadores Chromium para el personal que no requiera estas utilidades en sus labores cotidianas.
• Actualización de sistemas de respuesta: La adopción de plataformas como Kaspersky Next proporciona supervisión en tiempo real y detección temprana de anomalías conductuales en los terminales de trabajo.
• Incorporación de servicios especializados: El uso de herramientas avanzadas como Kaspersky Threat Intelligence y esquemas de detección gestionada (Managed Detection and Response) optimiza el diagnóstico de incidentes complejos.