Ricercatori di sicurezza hanno documentato una tecnica post-compromissione che consente di abilitare il Chrome DevTools Protocol su browser Chrome o Edge già in esecuzione su Windows, permettendo l'accesso a cookie e sessioni senza sfruttare vulnerabilità del browser.
Una nuova tecnica di post-exploitation, descritta da ricercatori di SpecterOps, permette di abilitare il Chrome DevTools Protocol (CDP) all'interno di processi Chrome o Edge già attivi su Windows. Questo consente a un operatore che abbia già ottenuto l'esecuzione di codice sulla macchina di accedere a cookie, dati salvati e sessioni browser autenticate, senza la necessità di sfruttare vulnerabilità note dei browser.
La procedura richiede che l'attaccante abbia già compromesso il sistema e possa manipolare i processi chrome.exe o msedge.exe. Non si tratta quindi di una falla sfruttabile da remoto, ma di una tecnica avanzata per scenari post-compromissione. SpecterOps suggerisce ai difensori di monitorare eventi Sysmon ID 8 e 10, che possono indicare tentativi di injection nei processi dei browser.
Come funziona l'attacco tramite CDP-Enable-BOF
Il tool CDP-Enable-BOF, sviluppato da SpecterOps, si basa su precedenti ricerche di DeathFlamingo e Cedric Van Bockhaven. Il Beacon Object File (BOF) x64 individua il processo browser attivo, risolve i simboli interni di Chromium, alloca memoria remota e installa temporaneamente una procedura di finestra remota. Infine, invoca la funzione StartRemoteDebuggingServer di Chromium sul thread dell'interfaccia utente, esponendo il contesto del browser su una porta CDP richiesta.
Questa tecnica permette di aggirare le protezioni introdotte da Google, come l'App-Bound Encryption (ABE) e le modifiche a partire da Chrome 136, che limitano l'uso delle opzioni --remote-debugging-port e --remote-debugging-pipe sulla directory dati predefinita. Il BOF, invece, attiva il server di debug dall'interno del processo già autenticato, sfruttando la sessione utente in corso.
Implicazioni per la sicurezza e mitigazioni
Una volta attivato il server CDP, gli operatori possono utilizzare il toolkit di SpecterOps per estrarre cookie tramite Storage.getCookies, recuperare cronologia, segnalibri, estensioni installate, screenshot e metadati delle password salvate. È anche possibile sfruttare il workflow di autofill di Chromium per leggere username e password direttamente dai campi delle pagine, o creare browser offscreen per proxy e screencasting, mantenendo lo stato autenticato della vittima.
Google ha introdotto le Device Bound Session Credentials (DBSC) in Chrome 146 per Windows, che vincolano il refresh delle sessioni a una chiave hardware, rendendo più difficile il riutilizzo dei cookie rubati su altri dispositivi. Tuttavia, SpecterOps sottolinea che operare all'interno del contesto browser autenticato permette di aggirare molte di queste protezioni.
Compatibilità, versioni e rilevamento
Il repository pubblico di CDP-Enable-BOF indica come testate le versioni Chrome 147.0.7727.102 e Edge 147.0.3912.98, mentre le versioni più recenti sono Chrome 151.0.7922.47/.48 e Edge 151.0.4129.78. Sono disponibili script per generare nuove firme quando gli aggiornamenti del browser impediscono la risoluzione dei simboli, ma non è garantita la compatibilità immediata con tutte le release future.
Per il rilevamento, Microsoft Sysmon segnala l'uso di CreateRemoteThread (ID 8) e ProcessAccess (ID 10), utili per identificare tentativi di injection e accessi sospetti ai processi dei browser. Tuttavia, il volume di log generato richiede l'uso di filtri per evitare falsi positivi.
Contesto e sviluppi recenti
Questa tecnica emerge a breve distanza dalla scoperta di AmnesiaStealer, un malware per macOS che sfrutta un modulo stream_module per controllare in modo nascosto browser Chromium e esportare cookie in chiaro tramite CDP. Mentre AmnesiaStealer agisce su macOS, la ricerca di SpecterOps si concentra su Windows e sfrutta processi browser già attivi e autenticati.
Per chi desidera approfondire il panorama delle nuove minacce tra AI, cloud e malware, è disponibile anche un'analisi aggiornata nel bollettino ThreatsDay di QWERTYmag, che offre una panoramica sulle principali tecniche di attacco e sulle strategie difensive emergenti.
