Hackers podrían aprovechar Google Workspace y la Plataforma Cloud para ataques de ransomware

Bitdefender describió tres técnicas que permiten convertir un solo equipo Windows comprometido con GCPW en acceso a Google Workspace, a otras máquinas clonadas y a contraseñas en texto plano. Google no lo corregirá porque considera que queda fuera de su modelo de amenaza.

Bitdefender publicó un informe con tres métodos de ataque contra organizaciones que usan Google Workspace y Google Cloud con el Proveedor de Credenciales de Google para Windows (GCPW). Ninguno sirve para la intrusión inicial: el atacante ya debe controlar un equipo. Lo que muestran es cómo ese único equipo puede escalar a la nube, a otras máquinas y a contraseñas reutilizables, con resultados como ransomware o exfiltración de datos. Google calificó el problema como «no elegible para su corrección», por estar fuera de su modelo de amenaza y en línea con cómo Chrome guarda datos locales.

Qué es GCPW y dónde está el punto débil

GCPW da a los administradores funciones de gestión de dispositivos (MDM) e inicio de sesión único (SSO) sobre equipos Windows. El usuario entra a Windows con la misma cuenta de Google que usa en Workspace. Para lograrlo, GCPW crea una cuenta de servicio local privilegiada llamada GAIA, que consulta las API de Google para validar credenciales en el inicio de sesión y guarda un token de actualización de OAuth para no pedir autenticación cada vez.

Ese token es la llave de las tres técnicas.

Tres caminos desde un mismo equipo

El primero es el robo del token de actualización. El atacante lo extrae del Registro de Windows o del directorio de perfil de Chrome del usuario y lo canjea por un token de acceso con una solicitud POST al endpoint de OAuth de Google. Con eso puede leer, modificar o borrar datos de la cuenta sin pasar por la MFA.

El segundo, que Bitdefender llama movimiento lateral de la Imagen Dorada, afecta a despliegues de máquinas virtuales. Al clonar una máquina con GCPW preinstalado también se clona la contraseña de la cuenta GAIA, así que conocerla en un equipo equivale a conocerla en todos los clones. El investigador Martin Zugec lo comparó con tener la misma contraseña de administrador local en toda la flota, el problema que Microsoft resolvió con LAPS.

El tercero lleva a contraseñas en texto plano. Con el token de acceso obtenido en el primer paso, el atacante consulta con un GET un endpoint de API no documentado y obtiene la clave privada RSA que descifra el campo de contraseña. Zugec lo considera el escenario más grave, porque permite suplantar al usuario sin límites y tomar la cuenta completa, incluso fuera del ecosistema de Google si la clave se reutiliza.

Por qué importa y qué hacer

La postura de Google es coherente con su modelo de amenaza, pero deja la mitigación en manos de cada organización. En la práctica, un infostealer o un acceso remoto en un portátil puede transformarse en una brecha de toda la red y de la nube. Las empresas que adoptaron Workspace con GCPW para administrar equipos Windows sin dominio deberían tratar esos tokens como credenciales de alto valor.

• Revisa si GCPW está instalado en tus equipos y si las máquinas virtuales se crean desde imágenes con GCPW ya configurado.
• Instala GCPW después de clonar cada máquina, no en la imagen base, para que la cuenta GAIA no comparta contraseña.
• Monitorea el acceso de procesos no habituales a las claves de Registro de GCPW y a los perfiles de Chrome.
• Revoca los tokens de OAuth y las sesiones de la cuenta de Google de cualquier usuario cuyo equipo se haya visto comprometido.
• Prohíbe reutilizar la contraseña de Google en otros servicios, ya que puede quedar recuperable en texto plano.

Relacionado:
Ciberataques a servicios de salud afectan marcapasos y millones de registros
Aumento significativo en las pérdidas por ciberdelincuencia en 2025
Extraditan a Estados Unidos a un hacker ucraniano vinculado a los ataques de ransomware de REvil

Fuente:
https://thehackernews.com/2023/11/hackers-could-exploit-google-workspace.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.