新工具可绕过 Google Chrome 的新 Cookie 加密系统

一位研究人员发布了一款工具，用于绕过 Google 新推出的 App-Bound 加密 cookie 盗窃防御措施并从 Chrome 网络浏览器中提取已保存的凭据。

这款工具名为“Chrome-App-Bound-Encryption-Decryption”，由网络安全研究员亚历山大·哈格纳 (Alexander Hagenah) 发布，因为他注意到其他人已经在研究类似的绕过方法。

尽管该工具实现了多个信息窃取操作已添加到其恶意软件中的功能，但它的公开可用性增加了继续在浏览器中存储敏感数据的 Chrome 用户的风险。

谷歌的应用程序加密问题

Google在 7 月份 (Chrome 127)推出了应用程序绑定 (App-Bound) 加密作为一种新的保护机制，它使用以 SYSTEM 权限运行的 Windows 服务来加密 cookie。

其目的是保护敏感信息免受信息窃取恶意软件的攻击，该恶意软件以登录用户的权限运行，因此它无法在没有首先获得系统权限的情况下解密被盗的 cookie，并可能在安全软件中发出警报。

谷歌在 7 月份解释道： “由于 App-Bound 服务以系统权限运行，攻击者需要做的不仅仅是诱骗用户运行恶意应用程序。”

“现在，恶意软件必须获得系统权限，或者将代码注入 Chrome，而这是合法软件不应该做的事情。”

然而，截至 9 月份，多个信息窃取者已经找到绕过新安全功能的方法，并为网络犯罪客户提供了再次从 Google Chrome 窃取和解密敏感信息的能力。

谷歌当时告诉 BleepingComputer，信息窃取者开发人员与其工程师之间“猫捉老鼠”的游戏是意料之中的，他们从未假设他们的防御机制是万无一失的。

相反，他们希望通过引入 App-Bound 加密，最终为逐步建立更完善的系统奠定基础。以下是谷歌当时的回应：

“我们意识到这种新防御措施对信息窃取者格局造成的破坏，正如我们在博客中所说，我们预计这种保护措施将导致攻击者的行为转向更易观察的技术，例如注入或内存抓取。这与我们所看到的新行为相符。

我们将继续与操作系统和 AV 供应商合作，尝试更可靠地检测这些新型攻击，并继续加强防御措施，以提高对我们用户防范信息窃取者的保护。”——谷歌发言人

绕过现已公开

昨天，Hagenah在 GitHub 上发布了他的 App-Bound 加密绕过工具，并分享了源代码，供任何人学习和编译该工具。

项目描述中写道：“该工具使用 Chrome 内部基于 COM 的 IElevator 服务，解密存储在 Chrome 本地状态文件中的 App-Bound 加密密钥。”

“该工具提供了一种检索和解密这些密钥的方法，Chrome 通过应用程序绑定加密 (ABE) 保护这些密钥，以防止未经授权访问 cookie 等安全数据（以及将来可能的密码和付款信息）。”

要使用该工具，用户必须将可执行文件复制到 Google Chrome 目录中，该目录通常位于 C:\Program Files\Google\Chrome\Application。此文件夹受到保护，因此用户必须先获得管理员权限才能将可执行文件复制到该文件夹​​。

然而，这通常很容易实现，因为许多 Windows 用户（尤其是消费者）使用具有管理权限的帐户。

关于其对 Chrome 安全的实际影响，研究员g0njxa告诉 BleepingComputer，Hagenah 的工具展示了一种基本方法，大多数信息窃取者现在已经超越这种方法，可以窃取所有版本的 Google Chrome 中的 cookie。

丰田恶意软件分析师Russian Panda也向 BleepingComputer 证实，Hagenah 的方法与谷歌首次在 Chrome 中实施 App-Bound 加密时信息窃取者采用的早期绕过方法类似。

Russian Panda 告诉 BleepingComputer：“Lumma 使用了这种方法——通过 COM 实例化 Chrome IElevator 接口来访问 Chrome 的 Elevation Service 来解密 cookie，但这会产生很大的噪音，很容易被发现。”

“现在，他们正在使用间接解密，而无需直接与 Chrome 的 Elevation Service 交互”。

不过，g0njxa 评论称，谷歌还没有赶上，因此使用新工具很容易窃取存储在 Chrome 中的用户机密。

针对此工具的发布，谷歌与 BleepingComputer 分享了以下声明：

谷歌告诉 BleepingComputer：“此代码（xaitax）需要管理员权限，这表明我们已成功提升实施此类攻击所需的访问权限。”

虽然确实需要管理员权限，但这似乎并没有影响到信息窃取恶意软件的操作，这些操作在过去六个月中只增不减，通过 零日漏洞、  GitHub 问题的虚假修复，甚至 StackOverflow 上的答案来瞄准用户。