En julio de 2024, Google lanzó una nueva función llamada Cifrado de Cookies AppBound, diseñada para mejorar la seguridad de las cookies en el navegador Chrome. Esta medida representa un cambio significativo en la forma en que los malware, especialmente los de tipo info-stealers, acceden a datos sensibles. Los desarrolladores de malware han tenido que adaptar sus técnicas rápidamente para superar estas nuevas protecciones.
Antecedentes y evolución de la protección de cookies
Durante años, Google ha trabajado en la protección de las cookies contra el robo por parte del malware. Dado que Chrome representa una parte importante del mercado de navegadores, y muchos otros navegadores se basan en Chromium (como Edge, Opera o Brave), las medidas implementadas en Chrome también son adoptadas por gran parte del mundo.
Antes de la introducción del Cifrado AppBound, el malware necesitaba acceder a dos archivos: un archivo SQLite llamado Cookies, donde se almacenaban las cookies cifradas, y un archivo JSON denominado Local State, que contenía una clave para descifrar las cookies. La clave de cookie estaba protegida mediante la API de protección de datos de Windows (DPAPI), lo cual añadía una capa adicional de seguridad.
Para descifrar los blobs cifrados con DPAPI, un proceso debía ejecutarse en el mismo contexto de usuario que el proceso que los cifró. Este método era efectivo contra herramientas como WinSCP o RClone, pero no ofrecía una protección sólida frente al malware.
El nuevo Cifrado AppBound y sus implicaciones
Con la implementación del Cifrado de Cookies AppBound, Google introdujo un método más robusto para proteger las cookies. Sin embargo, esta medida ha generado nuevas formas de ataque, como el C4 Attack (Chrome Cookie Cipher Cracker), descubierto durante una investigación realizada por CyberArk.
Esta técnica permite a los atacantes acceder a datos que normalmente solo deberían estar disponibles para el usuario privilegiado del SYSTEM. Las vulnerabilidades encontradas durante la investigación se comunicaron responsablemente a Google y Microsoft antes de su publicación, como parte de un compromiso con la comunidad de código abierto.
Metodologías de ataque al Cifrado AppBound
La configuración del cifrado de cookies AppBound es compleja y depende en gran medida de DPAPI. Aunque existen varios métodos prometedores para explorar, el ataque final se centró en la posibilidad de descifrar las cookies.
- Intentar suplantar la identidad de Chrome para que el servicio de elevación proporcione la clave.
- Intentar suplantar la identidad del servicio de elevación para que Chrome cifre las cookies con una clave creada por el malware.
- Interceptar la comunicación entre Chrome y el servicio de elevación para obtener la clave de las cookies.
- Un ataque de degradación para que Chrome utilice el antiguo método de cifrado de cookies, permitiendo a un malware con pocos privilegios descifrarlas.
Se encontraron dos ataques eficaces para usuarios con pocos privilegios, según el informe publicado por CyberArk. Estos métodos no requieren derechos administrativos y permiten acceder a datos protegidos.