Сховище паролів Google Chrome можна атакувати навіть без отримання зловмисником підвищених системних привілеїв. Дослідники підрозділу Unit 42 компанії Palo Alto Networks виявили три сценарії, за допомогою яких шкідливе програмне забезпечення може викрадати збережені в браузері облікові дані та отримувати доступ до облікових записів користувача.

Найнебезпечніший варіант дає змогу фактично скомпрометувати все сховище паролів Chrome. У такому разі зловмисник потенційно може скористатися збереженими обліковими даними для входу до різних сервісів від імені власника комп'ютера.

Проблема особливо привертає увагу на тлі поступової відмови найбільших технологічних компаній від традиційних паролів на користь passkeys, тобто ключів доступу. Такий підхід вважається стійкішим до викрадення облікових даних, оскільки для підтвердження входу використовуються ключі, прив'язані до пристрою, PIN-код або біометрична автентифікація.

Як зловмисник може отримати доступ до паролів Chrome

Дослідники Unit 42 вивчили механізми, за допомогою яких Chrome зберігає та синхронізує паролі. Вони з'ясували, що браузер залишає в локальній пам'яті достатньо інформації для проведення атак на процес автентифікації.

Водночас усі три виявлені сценарії мають спільну умову: комп'ютер користувача вже має бути заражений шкідливим програмним забезпеченням. Тобто сама по собі віддалена атака через інтернет не дає змоги просто відкрити Chrome та викрасти збережені паролі.

Однак після проникнення на комп'ютер ситуація стає значно небезпечнішою. Зловмисник може спробувати отримати доступ до даних браузера, скористатися особливостями синхронізації та перехопити ключі, необхідні для розшифрування збереженої інформації.

Один зі сценаріїв дослідники назвали Pass-ta-key. Він передбачає, що зловмисник отримує можливість взаємодіяти із зараженим комп'ютером у режимі реального часу.

У такому разі атакувальник може вилучати синхронізовані записи з файлів на диску або з пам'яті Chrome, а потім відтворювати процедуру, яку браузер використовує для розшифрування даних. Мета полягає в тому, щоб обійти хмарний механізм автентифікації Google та змусити його сприймати дії зловмисника як легітимні.

Якщо така схема спрацьовує, наслідки можуть бути значно серйознішими за викрадення одного збереженого пароля. Під загрозою опиняється саме хмарне сховище облікових даних користувача.

Постійний віддалений доступ потрібен не завжди

Інший сценарій виглядає ще небезпечнішим для користувача, оскільки зловмиснику необов'язково постійно перебувати в інтерактивному сеансі зараженого комп'ютера.

Атакувальник може видалити певний файл Chrome, спровокувавши повторну автентифікацію пристрою через хмарну інфраструктуру. Після цього створюється новий ключ, який потенційно дає змогу отримати доступ до облікових даних, захищених паролями користувача.

Важлива особливість цього методу полягає в тому, що після отримання необхідної інформації зловмисник може продовжити роботу вже зі свого комп'ютера. Постійне підключення до зараженої системи йому для цього не потрібне.

Для власника пристрою така атака може залишатися практично непомітною. Користувач продовжує працювати у звичному браузері, тоді як зловмисник намагається використати отримані дані для доступу до збережених облікових записів.

Головний ключ можна спробувати перехопити з пам'яті

Третій описаний дослідниками сценарій безпосередньо пов'язаний із головним ключем, який використовується для захисту локального сховища паролів Chrome.

Якщо зловмисник заздалегідь з'ясує, де саме браузер зберігає необхідні дані, він може спробувати змусити Chrome повторно виконати процедуру введення облікових даних. У цей короткий проміжок часу головний ключ може опинитися в оперативній пам'яті браузера у незашифрованому вигляді.

Зловмиснику залишається перехопити його до того, як Chrome видалить конфіденційну інформацію з пам'яті. У разі успішної атаки це може дати змогу розшифрувати локальне сховище та отримати доступ до збережених паролів.

Саме короткочасна поява ключа в пам'яті стає одним із важливих елементів такої атаки. Користувач може не помітити нічого незвичного, оскільки зловмиснику не обов'язково змінювати налаштування браузера або встановлювати додаткові програми, які одразу привернули б увагу.

Дослідники водночас наголошують на кількох важливих особливостях усіх трьох методів:

• заздалегідь заражений комп'ютер залишається обов'язковою умовою для проведення атаки;
• для описаних сценаріїв не потрібні підвищені системні привілеї;
• багатофакторна автентифікація не обов'язково зупинить атаку;
• зловмисник може атакувати не окремий пароль, а механізм зберігання та синхронізації облікових даних.

Чому passkeys не вирішують проблему повністю

Ситуація виглядає парадоксально. Індустрія активно переходить від звичайних паролів до ключів доступу саме тому, що традиційні облікові дані надто часто стають ціллю кіберзлочинців. Passkeys не потрібно запам'ятовувати, а підтвердження особи зазвичай відбувається за допомогою PIN-коду, відбитка пальця або розпізнавання обличчя.

Крім того, сама архітектура ключів доступу зменшує цінність віддаленого викрадення даних. На відміну від звичайного пароля, секретна частина ключа не має передаватися серверу у звичному вигляді. Тому компрометація бази даних сервісу сама по собі не повинна автоматично давати зловмиснику можливість увійти до облікового запису.

Однак дослідження Unit 42 показує, що безпека всієї системи залежить не лише від того, як саме сервер зберігає облікові дані. Якщо шкідлива програма вже отримала контроль над комп'ютером, атакувати можна сам процес автентифікації, локальні файли та дані, які тимчасово з'являються в оперативній пам'яті.

Тому навіть перехід на сучасні способи входу не означає, що заражений комп'ютер автоматично стає безпечним. Якщо шкідливе програмне забезпечення вже працює всередині системи, воно може намагатися атакувати інфраструктуру автентифікації на іншому рівні.

Що це означає для звичайного користувача Chrome

Описана проблема не означає, що всім користувачам потрібно терміново видаляти збережені паролі з Chrome. Для проведення розглянутих атак зловмиснику спочатку необхідно проникнути на комп'ютер і запустити шкідливий код.

Однак саме це робить захист самого пристрою критично важливим. Навіть складний пароль і двофакторна автентифікація не завжди врятують обліковий запис, якщо шкідлива програма отримала можливість взаємодіяти з браузером та його пам'яттю.

Для користувачів в Україні це особливо актуально через велику кількість фішингових розсилань, шкідливих вкладень і підроблених сайтів, які можуть використовуватися для початкового зараження комп'ютера. Тому захист браузера починається не з видалення менеджера паролів, а з недопущення потрапляння шкідливого програмного забезпечення на пристрій.

На практиці варто уважно ставитися до неочікуваних файлів і програм, не встановлювати застосунки з сумнівних джерел та вчасно оновлювати Windows, Chrome і захисне програмне забезпечення. Окрему увагу варто приділяти розширенням браузера: встановлення невідомого доповнення також збільшує потенційну поверхню атаки.

Google вже отримала інформацію про атаку

Дослідники Unit 42 повідомили Google про виявлені проблеми. Надалі розробникам подібних систем рекомендують приділяти більше уваги нетиповим діям із файлами, пов'язаними зі зберіганням паролів, а також підозрілим операціям під час первинної реєстрації та автентифікації.

Ще одним напрямом захисту може стати обмеження доступу до локальних файлів, у яких браузери зберігають конфіденційну інформацію. Що складніше шкідливій програмі отримати відомості про розташування та структуру таких даних, то більше додаткових перешкод виникає на шляху атаки.

Водночас описані дослідниками сценарії добре демонструють загальну тенденцію сучасної кібербезпеки. Захищати потрібно вже не лише сам пароль, а весь процес його зберігання, розшифрування, синхронізації та використання.

Для користувачів це означає просте правило: менеджер паролів у браузері залишається зручним інструментом, але його не варто сприймати як абсолютний захист. Якщо комп'ютер заражений, зловмисник може спробувати атакувати дані безпосередньо на пристрої, де вони використовуються.

Саме тому перехід індустрії на passkeys залишається важливим напрямом, але паралельно розробникам доводиться посилювати захист локальних механізмів автентифікації. У випадку з Chrome дослідження Unit 42 показало, що навіть сучасні хмарні системи зберігання облікових даних можуть стати ціллю складної атаки, якщо шкідливе програмне забезпечення вже проникло на комп'ютер.