新型惡意軟體會在使用者更改密碼後利用Google密碼漏洞。

• 俄羅斯論壇上提供的 iAuthFlow v2 工具可以讓攻擊者留在電子郵件帳號中。
• 該工具利用網路釣魚來取得登入憑證，然後秘密建立由攻擊者控制的通行金鑰，以確保永久存取權限。
• 防禦措施包括審查密碼、OAuth 代碼、郵件規則，以及刪除未經授權的路由。

安全研究人員發現了一套新的惡意軟體工具，即使密碼已更改且所有會話都已結束，惡意行為者仍能重新登入被入侵的電子郵件帳戶。

根據網路安全專家 Abnormal 的一份最新報告顯示，iAuthFlow v2 工具目前在俄羅斯暗網論壇上的售價超過 10,000 萬美元。此前，他們獲得了該工具的副本進行分析。

這款惡意軟體主要用作網路釣魚工具，試圖誘騙用戶登入其 Google、Microsoft 、iCloud 或 LinkedIn 帳戶。一旦使用者登錄，其憑證就會傳遞給攻擊者，攻擊者隨後即可登入這些帳戶。在此之前，該工具會顯示幾秒鐘的「正在處理」頁面，同時在背景秘密產生新密碼。

如何防禦 iAuthFlow v2

通行金鑰是一種替代身份驗證方法，通常被稱為「密碼終結者」。這些密鑰使用裝置端加密，允許使用者使用指紋、臉部辨識或裝置 PIN 碼登入。

由於私鑰始終保存在裝置內部，因此可以抵禦網路釣魚攻擊。但是，如果攻擊者設法在自己擁有的裝置上產生私鑰，幾乎可以肯定能夠存取該帳戶。

該工具包的發布還附帶了一段演示視頻，展示了其工作原理。在演示中，iAuthFlow v2 在身份驗證後六秒產生了密碼。

然而，建立通行金鑰並不是一個完全簡單的過程，可能會遇到一些障礙，正如 Abnormal 所暗示的那樣，例如， Google可能會要求在允許更改之前進行進一步的身份驗證。

通常情況下，當攻擊者入侵電子郵件帳戶時，結束所有會話並更改密碼通常就足夠了。

但在這種情況下，用戶應該採取進一步措施：檢查帳戶是否存在被入侵的跡象，包括未經授權的密碼或安全密鑰、惡意 Gmail 過濾器和轉發規則、恢復和委託訪問權限的更改以及未經授權的應用程序，正如 Abnormal 所建議的那樣。

他們還應該撤銷相關的 OAuth 權限和令牌，調查可用的登入審計事件、郵件規則、兩步驟驗證、密碼、OAuth，最後確保攻擊者記錄的任何身份驗證方法都已被刪除。