Злонамерен софтуер заобикаля защитата на Chrome и извлича ключове от паметта

Нова тактика срещу криптираните данни в браузъра

Експерти по киберсигурност сигнализират за нов, ефективен метод, използван от творците на троянеца VoidStealer: вместо да пробива самата криптография, зловредният код прихваща момента, в който браузърът декриптира данните в оперативната памет, и оттам взема необходимите ключове и токени.

Как работи App‑Bound Encryption и защо беше нужно

Google представи App‑Bound Encryption (ABE) през лятото на 2024 г. като допълнителен слой защита, който гарантира, че съхранените пароли и други чувствителни данни могат да бъдат декриптирани само от конкретния браузър. Идеята е да се запълни пропускът, при който системните механизми за защита дават предимство на злонамерени процеси в някои среди.

Точката на пробив: паметта и дебъгърите

VoidStealer не се опитва да „разбие“ криптирането — това би било много трудно и бавно. Вместо това зловредният софтуер се прикрепя към процеса на браузъра, използвайки механизъм, маскиран като легитимен дебъгер. Когато Chrome зареди и декриптира ключа за нуждите на сесията, троянецът поставя изпълнението на пауза, чете ключовете в чист вид от оперативната памет и ги изпраща към атакуващите.

Защо Windows е по‑рисков в този сценарий

Разликите в архитектурата между операционните системи играят роля: macOS и Linux често разчитат на отделни, утвърдени системни механизми за защита на ключове, докато при Windows традиционният DPAPI интерфейс може да бъде компрометиран от злонамерен софтуер, работещ с привилегирован достъп. ABE беше предназначен да стесни тази уязвимост, но техниката с извличане от паметта показва, че дори ABE не е абсолютно решение срещу целенасочени атаки.

Какви са последиците

Успешна атака върху браузъра означава директен достъп до пароли, автентификационни токени, финансови данни и лична кореспонденция. При корпоративни клиенти това може да доведе до компрометиране на облачни акаунти и вътрешни ресурси, а при потребители — до кражба на идентичност и финансови загуби.

Препоръки за защита

• Поддържайте браузъра и операционната система актуални — производителите пускат пачове за известни вектори на атака.
• Използвайте надежден антивирус/EDR софтуер, който открива поведение на дебъгинг и нежелани процеси, прикрепящи се към браузъра.
• Ограничавайте правата на потребителските акаунти — избягвайте работа с администраторски привилегии при ежедневно сърфиране.
• Внедрете многофакторна автентикация навсякъде, където е възможно, за да намалите риска от злоупотреба при компрометирани пароли.
• Обмислете използване на хардуерни защитни елементи и управление на ключовете (TPM, hardware security keys) за критични акаунти.
• Ограничете и наблюдавайте възможността за стартиране на дебъгери и инструменти за инжектиране на код на критични машини.

Тази атака напомня, че защитата не е само въпрос на криптиране: важна е цялостната сигурност на системата, правилната конфигурация и наблюдението за подозрително поведение. Организациите и потребителите трябва да приемат предпазните мерки проактивно, тъй като престъпниците непрекъснато адаптират техниките си.