Exploit 0-day para takeover de conta Google com um clique à venda

Apenas para fins informativos.

Tipo de vulnerabilidade: Account Takeover Preço: • Oferta atual (CO) — aproximadamente US$ 60.000 • Compre agora (BIN) — US$ 150.000

O vendedor afirma estar vendendo uma vulnerabilidade 0-day que permite a tomada remota de contas Google por meio de sequestro de sessão.

Segundo o vendedor, para o ataque ter sucesso, tudo o que é necessário é que a vítima — enquanto estiver conectada ao Gmail — clique em um link especialmente criado. Uma vez clicado o link, o atacante pode alegadamente obter o ID da sessão ativa e usá-lo para acessar a conta sem saber a senha. O vendedor afirma que o exploit funciona com base no princípio de Account Takeover (ATO) com 1 clique e não exige nenhuma ação adicional da vítima após abrir o link.

Como prova, foi publicada uma captura de tela de um terminal mostrando os arquivos da suposta cadeia de exploit, incluindo componentes para path traversal e sequestro de sessão.