Uma nova série de métodos de ataque contra o Google Workspace e a Google Cloud Platform foi demonstrada, representando uma ameaça potencial para a execução de ataques de ransomware, exfiltração de dados e recuperação de senhas.

Martin Zugec, diretor de soluções técnicas da Bitdefender, destacou que, partindo de uma máquina comprometida, os atacantes podem avançar de várias maneiras, incluindo mover-se para outras máquinas clonadas com o GCPW instalado, acessar a plataforma em nuvem com permissões personalizadas ou decifrar senhas armazenadas localmente para expandir seu ataque além do ecossistema do Google.

Para realizar esses ataques, é necessário que o ator mal-intencionado já tenha acesso a uma máquina local por outros meios. O Google classificou a vulnerabilidade como “não elegível para correção”, alegando que está alinhada com as práticas do Chrome de armazenar dados locais, e está fora do modelo de ameaça da empresa.

Os ataques dependem do uso, por uma organização, do Google Credential Provider for Windows (GCPW), que oferece capacidades de gerenciamento de dispositivos móveis (MDM) e single sign-on (SSO).

Um invasor com acesso a uma máquina comprometida pode extrair os tokens de atualização OAuth de uma conta, seja do registro do Windows ou do diretório de perfil do Chrome do usuário, e contornar as proteções de autenticação multifator (MFA).