Дослідники виявили спосіб красти паролі безпосередньо з пам'яті Chrome

Дослідники з Unit 42 нещодавно описали три способи, якими шкідливе ПЗ може отримувати доступ до паролів, що зберігаються в Google Chrome.

Найнебезпечніший спосіб повністю компрометує сховище паролів Google, надаючи зловмисникам видалений доступ до всіх облікових записів, які використовують ці паролі. Наразі Google, Microsoft, Apple та інші техкомпанії відмовляються від паролів на користь ключів доступу.

Паролі, що зберігаються на пристроях користувачів і розшифровуються в хмарних сховищах з допомогою PIN-кодів та біометрії, вважаються безпечнішими за генератори та менеджери паролів, оскільки зловмисникам нема звідки красти їх з серверів. Використання PIN-коду та біометрії також простіше за запам’ятовування пароля.

Однак дослідники з Unit 42 встановили, що менеджер паролів Google зберігає достатньо інформації у відкритому доступі в пам’яті Chrome. Націлений на це зловмисник може маніпулювати хмарним автентифікатором. Всі три методи вимагають інфікування комп’ютера, на якому зберігаються паролі Chrome.

Перший спосіб отримав назву Pass-ta-key й вимагає від зловмисника наявності видаленого доступу до цільового пристрою в режимі реального часу. Зчитуючи синхронізовані записи паролів з диска або пам’яті Chrome, зловмисник може імітувати метод розшифрування Google й обдурити хмарний автентифікатор, скомпрометувавши обліковий запис.

Безпечніший спосіб пропонує видалення файлу в Chrome, щоб змусити хмару повторно автентифікувати цільовий пристрій. Потім зловмисник генерує новий ключ для отримання доступу до всіх облікових записів користувача, які захищені паролями.

Цей спосіб не потребує видаленого доступу в режимі реального часу й дозволяє зловмиснику використовувати викрадені паролі зі свого ПК. Якщо зловмисник отримає достатньо інформації про місце зберігання Chrome паролів на цільовому пристрої, він може навіть перехопити головний ключ й отримати повний доступ до сховища паролів.

Для цього необхідно обманом змусити браузер повторити процес введення пароля та перехопити головний ключ упродовж нетривалого проміжку часу, коли він перебуває в пам’яті Chrome у відкритому доступі. Жоден з цих способів не потребує підвищення прав й не запускає багатофакторну автентифікацію.

Дослідники з Unit 42 вже повідомили Google про виявлені вразливості й радять розробникам автентифікаторів на основі паролів ретельно перевіряти їхнє підозріле використання аби посилити безпеку на етапі початкової реєстрації й обмежити доступ до файлів з паролями, які зберігаються локально.

Джерело: TechSpot