谷歌OAuth验证系统曝零日漏洞，可被黑客用于账户劫持
内容提要
恶意软件滥用谷歌OAuth漏洞，窃取用户账户信息。漏洞允许黑客在重置密码后仍能登录。多个恶意软件开发者声称能够利用此漏洞重新生成Google cookie。谷歌尚未确认漏洞利用情况和缓解措施。
延伸解读
漏洞核心：MultiLogin端点如何被滥用
文章指出，漏洞源于一个未记录的谷歌OAuth端点“MultiLogin”，该端点原本用于同步不同谷歌服务间的账户。恶意软件通过提取Chrome配置文件的tokens和账户ID（GAIA ID与加密令牌），利用该端点重新生成过期的身份验证cookie。加密令牌可用Chrome“Local State”文件中的密钥解密，而该密钥同样用于解密保存的密码，因此一旦设备被入侵，攻击者可能获得持久访问权限。
密码重置并非万全之策
根据CloudSEK研究人员的逆向工程，即使受害者重置谷歌密码，身份验证cookie仍能重新生成一次；否则可多次再生，使攻击者长期访问账户。这意味着传统的“重置密码”应急措施在该漏洞面前效果有限。不过，文章也提到会话cookie本身有储存时间限制，且该漏洞的利用状况和谷歌的缓解措施尚未确认，用户需关注后续官方更新。
恶意软件家族的快速跟进
自2023年11月Lumma stealer首次利用该漏洞后，Rhadamanthys、Stealc、Medusa、RisePro和Whitesnake等多个信息窃取家族相继声称具备重新生成谷歌cookie的能力。Lumma还更新版本，使用SOCKS代理和加密通信来逃避谷歌的滥用检测。这种快速扩散表明漏洞利用门槛较低，可能增加账户劫持风险，但谷歌尚未确认相关滥用情况。
Q&A
谷歌OAuth零日漏洞具体是如何让黑客在密码重置后仍能登录账户的？
该漏洞滥用了一个未记录的谷歌OAuth端点“MultiLogin”。恶意软件从Chrome配置文件中提取账户的GAIA ID和加密令牌，解密后利用这些信息向MultiLogin端点发送请求，从而重新生成过期的谷歌身份验证cookie，即使密码已重置，攻击者仍能保持对账户的访问。
哪些恶意软件家族利用了谷歌OAuth零日漏洞？
至少6个信息窃取恶意软件家族声称利用了该漏洞，包括Lumma（11月14日首次利用）、Rhadamanthys（11月17日）、Stealc（12月1日）、Medusa（12月11日）、RisePro（12月12日）和Whitesnake（12月26日）。
这个漏洞是何时被首次披露的？
该漏洞于2023年10月20日由威胁行为者PRISMA在Telegram上首次披露，声称发现了一种恢复过期Google身份验证cookie的方法。
重置密码后，攻击者能无限次重新生成cookie吗？
不能。根据CloudSEK研究员的解释，如果用户重置了Google密码，身份验证cookie只能重新生成一次；否则，它可以多次重新生成，从而提供对账户的持久访问。
谷歌是否已确认该漏洞并采取了缓解措施？
截至报告发布时，谷歌尚未确认MultiLogin端点被滥用的情况，因此该漏洞的利用状况及其缓解措施仍不清楚。
恶意软件开发者如何隐藏或改进漏洞利用方式？
Lumma开发者采用黑盒技术，如用私钥加密token:GAIA对，以向竞争对手隐藏机制并防止复制。后续更新中，Lumma还转而使用SOCKS代理来逃避谷歌的滥用检测，并在恶意软件和MultiLogin端点之间实现加密通信，以抵消谷歌的缓解措施。
