Malware VoidStealer использует новый метод для кражи master key Chrome, обходя защиту Application-Bound Encryption (ABE). Это важно, потому что такой способ позволяет злоумышленникам получать доступ к зашифрованной информации без повышения привилегий или инъекций кода.
Что такое VoidStealer и какие у него возможности
VoidStealer — платформой malware-as-a-service, которая рекламируется на закрытых форумах с декабря 2025 года. В версии 2.0 внедрен новый механик обхода защиты ABE, что делает VoidStealer первым известным случаем использования дебаггера для кражи ключей шифрования в реальной среде.
Эта программа работает, создавая скрытый процесс браузера и используя его как дебаггер. В момент, когда Chrome выполняет операции расшифровки, злоумышленник с помощью аппаратных точек останова вытаскивает в памяти ключ v20_master_key, необходимый для работы с защищенными данными. Исследователи из Gen Digital отмечают, что этот метод может являться адаптацией уже известных техник, используемых в open-source проектах, таких как ElevationKatz.
Контекст проблемы
Google внедрил ABE в Chrome 127 в июне 2024 года, чтобы предотвратить несанкционированный доступ к данным, таким как куки. Защита подразумевает, что master key находится в зашифрованном виде на диске. Несмотря на меры безопасности, по информации специалистов, несколько вредоносных программ уже сумели обойти эту защиту и успешно выполнять кражу данных.
Эксперты отмечают, что новая схема обхода повысила сложность киберугроз и требует более бдительного подхода к кибербезопасности со стороны пользователей и организаций.
Практические выводы для пользователей
Для пользователей Chrome важно усознанно подходить к установке расширений и программ. Рекомендуется обновлять браузер до последних версий и обращать внимание на предупреждения безопасности. Внедрение антивирусных решений также станет важным шагом в защите от таких угроз, как VoidStealer.
Следующий шаг от разработчиков — улучшение ABE и внедрение новых механизмов защиты, чтобы затруднить подобные атаки в будущем.