🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética detalharam uma técnica pós-exploração que permite o Chrome DevTools Protocol (CDP) dentro de um processo do Google Chrome ou Microsoft Edge em execução no Windows, permitindo que um operador acesse cookies, dados salvos e sessões autenticadas do navegador.
A técnica pressupõe que um operador já tenha execução de código no host Windows e não envolve a exploração de uma vulnerabilidade de segurança do Chrome ou Edge.
A exigência de execução prévia do código e acesso suficiente para manipular o processo alvo coloca a técnica em um cenário pós-comprometimento mais restrito do que uma falha de navegador explorável remotamente.
A SpecterOps disse que os defensores podem procurar sinais de injeção de processos direcionados a chrome.exe e msedge.exe usando os IDs de evento 8 e 10 do Sysmon.
"Desde que a criptografia vinculada a aplicativos foi ativada, vimos um aumento no número de invasores que usam a depuração remota do Chrome para extrair cookies", disse o Google em uma postagem de março de 2025.
O Google mudou o comportamento de depuração remota do Chrome começando com o Chrome 136 depois de observar um aumento no número de invasores que usam a depuração remota do Chrome para extrair cookies após a introdução da criptografia vinculada a aplicativos (ABE). A empresa disse que o roubo de cookies usando a interface de depuração era discutido desde 2018.
O Chrome 136 ignora as opções --remote-debugging-port e --remote-debugging-pipe quando elas direcionam o diretório de dados padrão do Chrome, a menos que sejam acompanhadas por um --user-data-dir não padrão. O diretório de dados não padrão usa uma chave de criptografia diferente, que, segundo o Google, protege os dados do Chrome contra invasores.
De acordo com SpecterOps, o CDP-Enable-BOF segue um caminho diferente, ativando o servidor de depuração de dentro de um processo chrome.exe ou msedge.exe existente. O x64 Beacon Object File (BOF) expõe o contexto existente do navegador em uma porta CDP solicitada.
CDP dentro do navegador em execução
O BOF se baseia em trabalhos anteriores de DeathFlamingo, que documentou a injeção de CDP em um navegador Edge em execução em dezembro de 2025, e no "Modern Session Hijacking by Living off the DevTools Protocol" de Cedric Van Bockhaven, ambos citados pelo repositório como bases para o projeto.
Em um nível superior, CDP-Enable-BOF executa as seguintes etapas -
Encontra o processo ativo do Chrome ou Edge solicitado e sua janela de nível superior.
Localiza o módulo chrome.dll ou msedge.dll carregado.
Resolve símbolos internos do Chromium usando assinaturas de bytes mascarados.
Aloca memória remota para dois stubs pequenos e um bloco de contexto.
Instala temporariamente um procedimento de janela remota.
Executa a chamada final no thread da interface do usuário do navegador.
Chama a função interna StartRemoteDebuggingServer do Chromium na porta solicitada.
O repositório disse que a execução da chamada final no thread da interface do usuário do navegador é usada para tornar a técnica confiável na presença de execução sensível a CFG, TLS e CET. O BOF requer um processo de navegador em execução e está limitado a sistemas x64.
O repositório público não indica se os direitos de administrador são necessários em todos os casos.
O Hacker News entrou em contato com a SpecterOps para esclarecimentos sobre os requisitos de privilégios e compatibilidade do navegador atual e atualizará esta história com qualquer resposta.
Aquisição de navegador por meio de CDP
Assim que o endpoint estiver disponível, o CDP-Toolkit do SpecterOps poderá interagir diretamente com o navegador ou automatizar suas superfícies WebUI internas. Os principais fluxos de trabalho pós-exploração estão listados abaixo -
A coleta de cookies usa Storage.getCookies para solicitar o estado do cookie do navegador sem ler o banco de dados de cookies do disco.
A coleta de dados do navegador pode recuperar histórico, favoritos, extensões instaladas, capturas de tela e metadados de senhas salvas por meio de CDP e páginas renderizadas pelo navegador.
A recuperação de senha salva pode exercitar o fluxo de trabalho de preenchimento automático do Chromium em relação a uma origem correspondente e ler os valores resultantes dos campos de nome de usuário e senha por meio do CDP.
O controle do navegador pode criar um alvo de navegador fora da tela ou em segundo plano para screencasting interativo ou solicitações HTTP e HTTPS de proxy por meio de alvos de navegador que transportam o estado autenticado da vítima.
O modo screencast deixa cookies, armazenamento do navegador, estado de autenticação empresarial, comportamento WebAuthn, extensões e comportamento JavaScript específico do navegador dentro da instância do Chrome ou Edge em execução no sistema comprometido.
O modo proxy faz solicitações upstream por meio de alvos de navegador que transportam o estado autenticado da vítima no endpoint comprometido, preservando os cookies e o agente do usuário do navegador onde o CDP os expõe.
As Device Bound Session Credentials (DBSC) do Google, que foram disponibilizadas para usuários do Windows com o Chrome 146, vinculam a atualização da sessão a uma chave baseada em hardware e são projetadas para evitar que cookies roubados sejam atualizados em outro dispositivo.
SpecterOps não descreve a extração dessa chave privada. A empresa disse operar
A técnica pressupõe que um operador já tenha execução de código no host Windows e não envolve a exploração de uma vulnerabilidade de segurança do Chrome ou Edge.
A exigência de execução prévia do código e acesso suficiente para manipular o processo alvo coloca a técnica em um cenário pós-comprometimento mais restrito do que uma falha de navegador explorável remotamente.
A SpecterOps disse que os defensores podem procurar sinais de injeção de processos direcionados a chrome.exe e msedge.exe usando os IDs de evento 8 e 10 do Sysmon.
"Desde que a criptografia vinculada a aplicativos foi ativada, vimos um aumento no número de invasores que usam a depuração remota do Chrome para extrair cookies", disse o Google em uma postagem de março de 2025.
O Google mudou o comportamento de depuração remota do Chrome começando com o Chrome 136 depois de observar um aumento no número de invasores que usam a depuração remota do Chrome para extrair cookies após a introdução da criptografia vinculada a aplicativos (ABE). A empresa disse que o roubo de cookies usando a interface de depuração era discutido desde 2018.
O Chrome 136 ignora as opções --remote-debugging-port e --remote-debugging-pipe quando elas direcionam o diretório de dados padrão do Chrome, a menos que sejam acompanhadas por um --user-data-dir não padrão. O diretório de dados não padrão usa uma chave de criptografia diferente, que, segundo o Google, protege os dados do Chrome contra invasores.
De acordo com SpecterOps, o CDP-Enable-BOF segue um caminho diferente, ativando o servidor de depuração de dentro de um processo chrome.exe ou msedge.exe existente. O x64 Beacon Object File (BOF) expõe o contexto existente do navegador em uma porta CDP solicitada.
CDP dentro do navegador em execução
O BOF se baseia em trabalhos anteriores de DeathFlamingo, que documentou a injeção de CDP em um navegador Edge em execução em dezembro de 2025, e no "Modern Session Hijacking by Living off the DevTools Protocol" de Cedric Van Bockhaven, ambos citados pelo repositório como bases para o projeto.
Em um nível superior, CDP-Enable-BOF executa as seguintes etapas -
Encontra o processo ativo do Chrome ou Edge solicitado e sua janela de nível superior.
Localiza o módulo chrome.dll ou msedge.dll carregado.
Resolve símbolos internos do Chromium usando assinaturas de bytes mascarados.
Aloca memória remota para dois stubs pequenos e um bloco de contexto.
Instala temporariamente um procedimento de janela remota.
Executa a chamada final no thread da interface do usuário do navegador.
Chama a função interna StartRemoteDebuggingServer do Chromium na porta solicitada.
O repositório disse que a execução da chamada final no thread da interface do usuário do navegador é usada para tornar a técnica confiável na presença de execução sensível a CFG, TLS e CET. O BOF requer um processo de navegador em execução e está limitado a sistemas x64.
O repositório público não indica se os direitos de administrador são necessários em todos os casos.
O Hacker News entrou em contato com a SpecterOps para esclarecimentos sobre os requisitos de privilégios e compatibilidade do navegador atual e atualizará esta história com qualquer resposta.
Aquisição de navegador por meio de CDP
Assim que o endpoint estiver disponível, o CDP-Toolkit do SpecterOps poderá interagir diretamente com o navegador ou automatizar suas superfícies WebUI internas. Os principais fluxos de trabalho pós-exploração estão listados abaixo -
A coleta de cookies usa Storage.getCookies para solicitar o estado do cookie do navegador sem ler o banco de dados de cookies do disco.
A coleta de dados do navegador pode recuperar histórico, favoritos, extensões instaladas, capturas de tela e metadados de senhas salvas por meio de CDP e páginas renderizadas pelo navegador.
A recuperação de senha salva pode exercitar o fluxo de trabalho de preenchimento automático do Chromium em relação a uma origem correspondente e ler os valores resultantes dos campos de nome de usuário e senha por meio do CDP.
O controle do navegador pode criar um alvo de navegador fora da tela ou em segundo plano para screencasting interativo ou solicitações HTTP e HTTPS de proxy por meio de alvos de navegador que transportam o estado autenticado da vítima.
O modo screencast deixa cookies, armazenamento do navegador, estado de autenticação empresarial, comportamento WebAuthn, extensões e comportamento JavaScript específico do navegador dentro da instância do Chrome ou Edge em execução no sistema comprometido.
O modo proxy faz solicitações upstream por meio de alvos de navegador que transportam o estado autenticado da vítima no endpoint comprometido, preservando os cookies e o agente do usuário do navegador onde o CDP os expõe.
As Device Bound Session Credentials (DBSC) do Google, que foram disponibilizadas para usuários do Windows com o Chrome 146, vinculam a atualização da sessão a uma chave baseada em hardware e são projetadas para evitar que cookies roubados sejam atualizados em outro dispositivo.
SpecterOps não descreve a extração dessa chave privada. A empresa disse operar
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #técnica #chrome #devtools #permite #o #sequestro #de #sessão #autenticada #em #navegadores #windows #ativos
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário