Зручна функція браузерів на Windows дає змогу красти паролі: як не стати жертвою

Зловмисники знайшли новий спосіб отримувати зашифровані облікові дані користувачів Google Chrome та інших популярних браузерів на системах Windows.

Як зазначає Cyber Security News, технологія крадіжки даних, позначена в структурі MITRE ATT&CK як T1555.003, дає змогу витягати імена користувачів і паролі безпосередньо з веб-браузерів, які зазвичай зберігають цю інформацію для зручного входу в систему.

Згідно з останніми дослідженнями, веб-браузери зазвичай зберігають ці облікові дані в зашифрованому форматі в сховищі облікових даних, але зловмисники розробили методи, що дають змогу витягувати їх у вигляді відкритого тексту.

У системах Windows зловмисники можуть отримати доступ до зашифрованих даних Google Chrome, вибравши файл бази даних, розташований за адресою AppData\Local\Google\Chrome\User Data\Default\Login Data, і виконавши SQL-запит: SELECT action_url, username_value, password_value FROM logins;.

Потім зашифровані дані розшифровуються за допомогою функції Windows API CryptProtectData, яка використовує кешовані облікові дані жертви як ключ розшифровки. З подібною проблемою стикаються й інші популярні браузери, зокрема Firefox, Edge і Safari.

"З початку 2025 року ми спостерігаємо значне зростання кількості операцій із крадіжки облікових даних браузерів", — зазначив дослідник у сфері кібербезпеки Стівен Лім.

Як захиститися від хакерів

Експерти в галузі кібербезпеки виявили низку ознак, що вказують на згадану атаку. Найпоширеніші з них включають:

• хеші файлів із підписами SHA-256, що показують 3729 індикаторів, і SHA-1 з 256 індикаторами;
• хеші MD5 з 859 випадками за 75% достовірності та 68 випадками за 83% достовірності;
• індикатори URL і домену показують 584 і 170 збігів відповідно;
• посилання на джерела мережевого трафіку зі 154 індикаторами.

Для виявлення атак у виданні радять відстежувати шаблони доступу до файлів у сховищах облікових даних браузера. Інструменти для безпеки можуть генерувати журнали Event ID 4663, коли неавторизовані процеси намагаються отримати доступ до таких файлів браузера, як Local State або Login Data.

Також рекомендується впровадити багатофакторну автентифікацію, регулярно змінювати паролі та обмежувати привілейований доступ. Організаціям також слід впровадити сучасні рішення з управління обліковими даними, що забезпечують додаткові рівні захисту.