STRD: la amenaza que roba correos corporativos usando navegadores headless y tokens OAuth

Kaspersky ha identificado una nueva herramienta ligada al grupo APT conocido como ToddyCat que pone en riesgo la confidencialidad del correo corporativo en Gmail mediante un vector poco ortodoxo: la captura de tokens OAuth a través del control remoto de navegadores Chromium iniciados en modo headless. La técnica, bautizada por los investigadores como Shadow Token via Remote Debug (STRD), no rompe contraseñas ni explota credenciales directamente; en su lugar se aprovecha de sesiones activas del usuario y de la capacidad legítima de las APIs de Google para autorizar aplicaciones mediante OAuth 2.0.

Según el análisis de la firma, el malware llamado Umbrij opera en Windows y consigue ejecutar un flujo que muchos administradores no consideran: duplica tokens de procesos explorer.exe para ejecutar acciones con los privilegios del usuario, copia perfiles de navegador (cookies, IndexedDB, Login Data y otros) a una carpeta de trabajo y lanza Chrome o Edge con ese perfil en modo headless. Luego usa Puppeteer para conectarse al puerto de depuración remota y automatizar la interacción con la página de autorización de Google, forzando la concesión de permisos a una aplicación que se hace pasar por una herramienta legítima de migración (por ejemplo, Google Workspace Migration for Microsoft Outlook). El resultado práctico es la captura del código de autorización y su intercambio por un token de acceso con permisos para leer correo, Drive, contactos y calendario.

Lo peligroso de STRD es el encadenamiento de técnicas aparentemente inofensivas: abuso de DLL side‑loading contra binarios firmados legítimos, uso de perfiles de navegador ya autenticados, control por el protocolo DevTools y automatización con Puppeteer. Kaspersky documenta que los operadores llegaron a ejecutar Umbrij mediante una tarea programada que imitaba software de seguridad (p. ej. “KasperskyEndpointSecurityEDRAvp”) y aprovecharon ejecutables vulnerables como BDSubWiz.exe, VSTestVideoRecorder.exe o GoogleDesktop.exe para cargar la DLL maliciosa ofuscada con ConfuserEx.

Las implicaciones para organizaciones son claras: la presencia de una sesión de navegador iniciada y la posibilidad de lanzar instancias headless desde el propio equipo convierten a equipos de escritorio aparentemente gestionados en vectores para compromisos de cuenta de alto impacto. Revocar contraseñas o forzar 2FA no detiene este flujo si el atacante puede simular el proceso de autorización con un navegador donde la sesión ya está activa. Además, la automatización que incorpora Umbrij permite que el ataque escale y se repita con rapidez sobre múltiples usuarios y equipos.

En el plano operativo, hay medidas de remediación inmediatas que deberían adoptarse. Los usuarios y administradores deben revisar las aplicaciones autorizadas en sus cuentas Google y revocar las que no reconozcan, en particular cualquier entrada con nombre similar a Google Workspace Migration for Microsoft Outlook o Google Workspace Sync for Microsoft Outlook; ese control de accesos se puede empezar desde la página de permisos de cuenta de Google. Los administradores de Google Workspace tienen además herramientas para supervisar y bloquear aplicaciones OAuth no aprobadas a nivel de dominio, y para invalidar tokens masivamente desde la consola administrativa.

En el puesto de trabajo y en la capa de endpoints conviene inspeccionar la configuración y el uso de puertos de depuración remota (por ejemplo, 9222 u otros puertos abiertos por Chromium), auditar tareas programadas inusuales y señales de DLL side‑loading o ejecución de binarios firmados que no coincidan con la política de la organización. La detección temprana de copias en "%LOCALAPPDATA%\Google\Chrome\BackupFiles" o "%LOCALAPPDATA%\Microsoft\Edge\BackupFiles" y la monitorización de procesos headless Chromium controlados por Puppeteer pueden ser indicadores de compromiso. Asimismo, el bloqueo por política de ejecución de procesos desde ubicaciones no esperadas y la aplicación de listas de aplicaciones permitidas reducen la superficie de abuso.

Para quienes quieran entender mejor los mecanismos técnicos detrás de la automatización con navegadores, la librería usada por los atacantes es pública; Puppeteer es la interfaz que facilita controlar instancias Chromium mediante el protocolo DevTools, documentación disponible en su sitio oficial. En cuanto a la gestión de accesos y permisos OAuth, Google mantiene guías sobre cómo funcionan los tokens y cómo revocar permisos desde la cuenta de usuario y desde la consola de administración de Workspace, lo cual es útil para planificar respuestas y políticas de aprobación de aplicaciones. Puppeteer documentation y Cómo administrar el acceso de aplicaciones a tu cuenta de Google.

En un enfoque más estratégico, las organizaciones deberían combinar controles técnicos con mejores prácticas: limitar sesiones persistentes en equipos críticos, aplicar segmentación de red y gestión de dispositivos (MDM), exigir que las migraciones de correo o accesos administrativos se realicen desde entornos controlados y aislados, y configurar mecanismos de detección en los registros de actividad de Google Workspace para detectar patrones de intercambio de tokens o accesos API atípicos. La visibilidad en los logs de OAuth y la detección de concesiones masivas de permisos son claves para identificar compromisos antes de que se produzca exfiltración masiva de correos.

Finalmente, la aparición de Umbrij evidencia una tendencia: los atacantes están priorizando la explotación de flujos legítimos (APIs, protocolos de autorización y herramientas de migración) en lugar de solo buscar vulnerabilidades clásicas. Eso obliga a las organizaciones a pensar en la seguridad de identidad y de los endpoints como un único frente conjunto, donde la protección de sesiones de usuario, la gobernanza de aplicaciones y la higiene del endpoint deben reforzarse simultáneamente para impedir que técnicas como STRD se conviertan en puertas de entrada a comunicaciones corporativas críticas. Para quienes quieran leer el reporte técnico original y el análisis del APT, Kaspersky mantiene su investigación pública en su portal de análisis de amenazas. Kaspersky Securelist.