Schon im Oktober 2023 wurde bekannt, dass Kriminelle eine spezielle Schwachstelle in Gmail aktiv ausnutzen. Google ist dies offiziell bekannt, weshalb man für Personen mit einem entsprechenden Konto eine Sicherheitsempfehlung aussprach. Sie erinnert jedoch an den bekannten IT-Spruch „Haben Sie es schon mit Ein- und Ausschalten versucht?“.

Gmail: Diese Gefahr droht der Nutzerschaft

Besagten Ratschlag erteilte Google Forbes zufolge nach Berichten über einen Angriff auf Google Mail-Konten, der gegen Passwortänderungen resistent ist und zum Diebstahl von persönlichen Informationen dient. Der CloudSEK-Forscher Pavan Karthick M hatte am 29. Dezember 2023 eine entsprechende Analyse veröffentlicht. Darin beschreibt er, wie die Accounts kompromittiert werden können.

Demnach hatte man festgestellt, dass Kriminelle einen nicht dokumentierten Authentifizierungsendpunkt für die Synchronisierung mit anderen Diensten nutzen, um Sitzungscookies auszunutzen. Mit diesen können sie sich bei Google-Nutzerkonten anmelden, ohne Anmeldedaten eingeben zu müssen. Ein Zugriff auf den Posteingang von Gmail ist damit leicht möglich.

Was laut den Expert*innen besonders spannend ist an der Attacke: Angreifer setzen schon seit geraumer Zeit auf eine derartige Übernahme von Sitzungscookies. In der Regel sind diese allerdings mit einer Zeitüberschreitung versehen, was ihre weitere Verwendung beschränkt und irgendwann verhindert. Im Rahmen der aktuellen Sicherheitslücke lassen sich abgelaufene Sitzungscookies allerdings wiederherstellen, um den Angriff fortzusetzen und zu verlängern. Und das, selbst nachdem die Nutzer*innen ihre Passwörter zurückgesetzt haben.

Lesetipp: 2 Funktionen sind unverzichtbar für dein Gmail-Postfach

Das soll gegen die Gmail-Attacke helfen

Google hat inzwischen laut Forbes erklärt, dass man in diesem Fall „Maßnahmen ergriffen hat, um alle entdeckten kompromittierten Konten zu sichern“. Diese Erklärung soll allerdings Berichten widersprechen, wonach es unmöglich sei, gestohlene Cookies zu widerrufen.

Dennoch rät man Google Mail-Nutzenden Folgendes: „Gestohlene Sitzungen können ungültig gemacht werden, indem man sich einfach aus dem betroffenen Browser abmeldet […].“ Google empfiehlt außerdem die Aktivierung von Enhanced Safe Browsing in Chrome, um sich vor Phishing und Malware-Downloads zu schützen.

Die Fachleute von CloudSEK gehen hier noch etwas ins Detail und raten zu erweiterten Maßnahmen bei Gmail: „Wenn Sie vermuten, dass Ihr Konto kompromittiert wurde, oder als allgemeine Vorsichtsmaßnahme, melden Sie sich von allen Browserprofilen ab, um die aktuellen Sitzungscookies ungültig zu machen. Anschließend setzen Sie Ihr Passwort zurück und melden sich erneut an, um neue Token zu generieren.“

Das soll den unbefugten Zugriff unterbrechen, indem es die alten Cookies ungültig macht. Und damit stelle sich eine entscheidende Barriere für die Fortsetzung des Angriffs ein.

Quellen: CloudSEK, Forbes

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.