Un investigador ha desarrollado una herramienta que permite eludir las nuevas defensas implementadas por Google para proteger las cookies del navegador web Chrome. La herramienta, denominada Chrome-App-Bound-Encryption-Decryption, fue lanzada por Alexander Hagenah tras observar que otros ya habían descubierto formas similares de evitar la protección.
El cifrado vinculado a aplicaciones de Google
Google introdujo el cifrado vinculado a aplicaciones (App-Bound) en julio como parte del lanzamiento de Chrome 127. Este mecanismo cifra las cookies utilizando un servicio de Windows que se ejecuta con privilegios de System, con el objetivo de proteger la información confidencial contra el robo por malware.
El objetivo principal era dificultar el acceso a las cookies robadas, ya que el malware normalmente opera bajo los permisos del usuario registrado. Para descifrar las cookies, los atacantes necesitarían obtener privilegios de System, lo cual podría generar alarmas en el software de seguridad.
Eludir la protección
Aunque Google introdujo esta nueva defensa, varios ladrones de información ya habían encontrado formas de eludirla. En septiembre, se reportó que algunos grupos habían desarrollado métodos para descifrar las cookies protegidas por App-Bound y permitir a sus clientes acceder a la información confidencial.
Hagenah publicó su herramienta en GitHub, compartiendo el código fuente para que cualquier persona pueda compilarla. La herramienta permite descifrar las claves almacenadas en el archivo de estado local de Chrome utilizando un servicio interno basado en COM llamado IElevator.
Para utilizar la herramienta, los usuarios deben copiar el ejecutable en el directorio de Google Chrome, que normalmente se encuentra en C:\Program Files\Google\Chrome\Application. Esta carpeta está protegida, por lo que es necesario obtener privilegios de administrador para realizar la operación.
Reacciones y análisis
El investigador g0njxa señaló que la herramienta de Hagenah demuestra un método básico que ya había sido superado por los ladrones de información en el robo de cookies de Chrome. Por su parte, el analista de malware Russian Panda confirmó que el método utilizado parece similar a las primeras estrategias empleadas cuando Google implementó por primera vez el cifrado App-Bound.
Según Russian Panda, Lumma utilizaba un enfoque basado en COM para acceder al Servicio Elevation de Chrome y descifrar las cookies. Sin embargo, este método era más ruidoso y fácil de detectar. Ahora, los atacantes están utilizando una forma indirecta que no interactúa directamente con el servicio.
La herramienta pública aumenta el riesgo para los usuarios de Chrome que continúan almacenando datos confidenciales en sus navegadores, ya que facilita la obtención de información sensible sin necesidad de privilegios elevados.