至少六個惡意組織盯上，Cookie 漏洞允許惡意軟體會恢復、入侵帳戶

使用者各式各樣的帳戶都是惡意人士眼中的寶，尤其是 Facebook、Google 等帳戶。現在出現了一個與 Cookie 相關的嚴重漏洞，且已有惡意軟體透過這個漏洞從 Chrome 中竊取檔案，這個漏洞看起來，即便在用戶已登出帳戶或變更密碼後也會允許惡意軟體存取受害者的 Google 帳戶。

據《BleepingComputer》報導，此一漏洞需要事先在桌面上安裝惡意軟體，以便「提取並解密儲存在 Google Chrome 本機資料庫中的登入令牌」。隨後其所獲得的內容將用於向 Google API 發送請求。

Chrome 通常會讓不同的 Google 服務間同步帳戶，並建立出穩定且長久的 Google Cookie，以用來負責訪問同一使用者的帳戶身份驗證；在這樣的情況下，尚不清楚雙重驗證是否能提供任何保護。

報導中也提到，從本質上來說從恢復檔案注入金鑰就可以重新授權 Cookie，急變在使用者密碼變更後也能確保其有效性。

最令人擔憂的是，如果受害者從未意識到自己已經受害，那麼將有助於惡意程式多次完成「恢復」過程。最糟的是，即便使用者重設 Google 帳號密碼，惡意人士仍可以再次利用漏洞來存取你的帳號。

現在有多個惡意軟體組織（BleepingComputer 統計至少有 6 個）可以存取此一漏洞並向外出售，這個漏洞是於 11 月中旬時公布。要注意的是，有些跡象看出來惡意組織已經更新了漏洞，以對抗 Google 實施的反制措施。

惡意軟體往往是包裝在使用者不熟悉的軟體當中，因此建議，千萬不要下載來路不明的應用程式，以防備惡意人士竊取資訊。

• Malware abuses Google OAuth endpoint to ‘revive’ cookies, hijack accounts

（首圖來源：Unsplash）