Der Angriff beginnt konventionell: Das Opfer landet auf einer vom Angreifer kontrollierten Webseite und muss dazu gebracht werden, dort seine Zugangsdaten einzugeben. Ohne diesen erfolgreichen ersten Schritt funktioniert die gesamte Kette nicht. Unsichtbar für das Opfer betreibt der Angreifer jedoch parallel eine zweite, verbundene Browser-Umgebung auf einem eigenen Server.
Alle Eingaben und Authentifizierungsantworten des Opfers werden an diesen entfernten Browser weitergereicht, der die eigentliche Kommunikation mit dem Dienst übernimmt. Die Schadsoftware versieht den Browser des Opfers laut Abnormal umgehend mit einem Gerätefingerabdruck und protokolliert jede Eingabe. Im Hintergrund fügt sie still einen vorbereiteten Passkey hinzu.
Aus der zweiten Browser-Umgebung heraus – aber über die vorgeschaltete Phishing-Seite dargestellt – fordert Google das Opfer zur Authentifizierung auf. Wer der Täuschung aufgesessen ist, bestätigt an dieser Stelle, ohne zu ahnen, dass damit zugleich der vom Angreifer kontrollierte Passkey freigeschaltet wird.
Genau hier liegt der Unterschied zu klassischen Session-Hijacking-Angriffen. „Das Ändern des Passworts und das Widerrufen aktiver Sitzungen sind die üblichen Reaktionen auf ein kompromittiertes Postfach. Wenn sich der Zugriff eines Angreifers auf erbeutete Sitzungscookies beschränkt, beenden diese Maßnahmen den Zugriff normalerweise", schreibt Abnormal in seiner Analyse. Das Unternehmen verweist zudem darauf, dass Google angibt, eine Passwortänderung widerrufe App-Passwörter und OAuth-Token mit Gmail-Berechtigungen – einzelne autorisierte Geräte und Drittanbieter-Verbindungen könnten jedoch angemeldet bleiben.
Der neu registrierte Passkey bleibt von alldem unberührt, weil es sich um eine eigenständig am Konto hinterlegte Anmeldeinformation handelt und nicht um ein vom Passwort abgeleitetes Token. Der Angreifer muss beim Login lediglich die Option für einen alternativen Anmeldeweg wählen und den Passkey verwenden – Kenntnis des aktuellen Passworts ist dafür nicht nötig.
Abnormal betont ausdrücklich, dass die Rekonstruktion auf den Online-Beiträgen des Verkäufers beruht und nicht auf einer tatsächlichen Untersuchung des eingesetzten Schadcodes. Auch sonst ist die Faktenlage dünn: Gemini beschreibt das Werkzeug als „kommerzielles Phishing-as-a-Service-(PhaaS)-Toolkit beziehungsweise Framework, das in Untergrundforen für Hacker – etwa im Exploit-Forum – an Cyberkriminelle vermarktet und verkauft wird", erwähnt Passkeys aber mit keinem Wort. Die Antwort von Copilot fällt noch unklarer aus. Über iAuthFlow V2 ist mithin insgesamt sehr wenig bekannt – angesichts des hohen Preises und der, sofern Abnormals Einschätzung zutrifft, unauffälligen Arbeitsweise wenig überraschend.
Die Analyse von Abnormal enthält Kompromittierungsindikatoren sowie Hinweise zur Bereinigung. Die zentrale Schlussfolgerung: Ein Passwort-Reset reicht nicht mehr aus, um die Kompromittierung durch einen Phisher zu beheben.