Los desarrolladores de malware del tipo Infostealer están actualizando sus herramientas para saltar la función App-Bound Encryption, introducida recientemente por Google Chrome. Esta medida busca proteger datos confidenciales como las cookies y contraseñas almacenadas en el navegador.
Funcionamiento de App-Bound Encryption
App-Bound Encryption se implementó en la versión 127 de Chrome y está diseñado para cifrar cookies y contraseñas mediante un servicio de Windows que opera con privilegios del sistema. Este modelo impide que el malware, que generalmente ejecuta acciones bajo los permisos del usuario logueado, acceda a secretos almacenados en el navegador.
Respuesta de los desarrolladores de malware
Varios creadores de malware han anunciado la implementación de mecanismos para evitar esta protección. Entre ellos se incluyen MeduzaStealer, Whitesnake, Lumma Stealer, Lumar (PovertyStealer), Vidar Stealer y StealC. Estas herramientas ya están siendo actualizadas para eludir App-Bound Encryption.
Confirmación de la efectividad del bypass
El investigador g0njxa confirmó que una variante reciente de Lumma Stealer puede saltar la protección en Chrome 129, la versión más actualizada del navegador. Esta prueba se realizó en un entorno sandbox con Windows 10 Pro.
Implementación y tiempo de desarrollo
Meduza y Whitesnake implementaron sus mecanismos hace más de dos semanas, mientras que Lumma lo hizo la semana pasada. Vidar y StealC han completado su actualización esta semana.
Solución temporal en Lumar
Lumar inicialmente utilizó una solución temporal para eludir App-Bound Encryption, que requería iniciar el malware con derechos de administrador. Sin embargo, posteriormente implementó un mecanismo que funciona sin necesidad de privilegios elevados.
Detalles sobre la evasión
Aunque aún no se revela exactamente cómo se logra eludir App-Bound Encryption, los autores del malware Rhadamanthys comentaron que les tomó 10 minutos revertir el cifrado.
Comentario de Google sobre la amenaza
Google reconoce el ataque contra esta función, pero asegura que «hace ruido y llama la atención de las soluciones de antivirus y EDR». App-Bound Encryption aumenta el costo del robo de datos y hace que las acciones de los atacantes sean más ruidosas en el sistema.