Открит е нов начин за заобикаляне на криптирането в Google Chrome с цел кражба на пароли

Създателите на троянския кон VoidStealer са открили начин да заобикалят криптирането на Google App-Bound Encryption (ABE) с цел кражба на потребителски данни от браузъра Chrome и неговите версии за Windows, отбелязват експертите от Kaspersky Lab.

През юли 2024 година Google представи технологията ABE за защита на данните в Chrome и други браузъри, базирани на същата платформа, включително Microsoft Edge, Opera, Vivaldi и Brave. При работа на Chrome в macOS за защитата на данните отговаря системната услуга Keychain, в Linux също има аналогични средства, но в Windows инструментите Data Protection API (DPAPI) не осигуряват достатъчна защита на бисквитките и паролите от достъп на злонамерени приложения, маскиращи се под заявки на легитимни потребители.

Технологията ABE беше създадена, за да реши този проблем – тя позволява декриптиране само от самия браузър Chrome, а не от какъвто и да е друг процес, дори ако той е стартиран от името на потребителя. В действителност тази защита беше пробита доста бързо – така се появиха троянските коне Meduza Stealer, Whitesnake, Lumma Stealer и Lumar, които успешно събираха бисквитки и други данни от Chrome. Изследователи в областта на киберсигурността разработиха свои начини за това. Един от тях предложи схема, в която се съчетават безфайлово изпълнение на код директно в паметта, внедряване на процеси, директни системни повиквания и други скрити методи. През изминалата година беше разработена техника за С4 атака, позволяваща да се постигне същият резултат дори от потребител с ниски привилегии.

Разработчиците на троянския кон VoidStealer предложиха нова схема. Ключовият етап е моментът, в който Chrome извлича криптиращия ключ в открит вид в паметта на браузъра, за да декриптира данните.

Зловредната програма се свързва с него под формата на дебъгер – (легитимен механизъм за отстраняване на проблеми) и определя момента, в който започва декриптирането, след което спира процеса. В резултат на това злонамереният потребител извлича ключа за криптиране директно от паметта и заобикаляйки по този начин средствата за защита. Появата на тази схема потвърждава, че браузърите се превръщат в популярна цел за атаки от страна на киберпрестъпниците. Предприятията все по-често прехвърлят работните си процеси в уеб приложения, а пробива в браузърите отваря достъп до токени за удостоверяване, потребителски данни, финансова информация и други данни с поверителен характер.