){kind=small}
)
Pesquisadores de segurança da Unit 42 descobriram um novo malware capaz de entrar nas contas protegidas por passkeys (chaves de acesso) no Windows – sem impressão digital, PIN ou qualquer aviso na tela da vítima. Para isso, a equipe de especialistas mapeou três caminhos que burlam o Google Password Manager do Chrome: Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Este último "nível" é o mais forte, possuindo a chave mestra que protege as credenciais sincronizadas do alvo.
Porém, nenhuma das estratégias diminui a eficácia da criptografia. Elas exploram falhas lógicas ao redor do funcionamento das passkeys e visam a maneira como o navegador armazena chaves de dispositivo, como o sistema registra um aparelho novamente após a remoção de dados anteriores e se o site onde o usuário faz login exige checagens rigorosas de presença humana.
Nossos vídeos em destaque
As técnicas conseguem obter de forma silenciosa uma comprovação de login válida, cadastrar uma chave falsa de verificação controlada por criminosos ou extrair a chave mestre de criptografia. Esse é um código interno conhecido como Segredo de Domínio de Segurança, ou SDS, que protege todas as chaves privadas do usuário.
Segundo os pesquisadores, os dois últimos métodos permitem que o invasor continue acessando as contas remotamente dos próprios computadores mesmo após a infecção inicial da máquina da vítima.
Caminhos de exploração e os riscos do ecossistema
)
O primeiro vetor, Pass-ta-key, retira a chave de identidade do chip de segurança do computador (o TPM) e emprega recursos nativos do Windows para assinar pedidos maliciosos. Embora a assinatura saia sem o sinal de que o usuário realmente aprovou a ação, a Unit 42 descobriu que plataformas online aceitavam a entrada sem exigir essa confirmação. Serviços como o GitHub já bloqueavam a falha.
Segunda técnica, a Silver Pass-ta-key explora o fluxo de reonboarding (o processo de cadastrar o navegador novamente no sistema de nuvem). Ao forçar a reinicialização do registro do aparelho, o malware aproveita uma brecha em que o Chrome deixa o cadastro temporariamente sem travas de segurança para inserir uma chave falsa gerada pelos criminosos, que passam a acessar a conta sem precisar do dispositivo físico da vítima.
O cenário mais crítico é o Golden Pass-ta-key, que ataca diretamente a chave mestre responsável por proteger todas as passkeys da conta. O relatório apontou que esse código secreto ficava visível de forma temporária em arquivos de registro e na memória do navegador durante etapas de recuperação.
)
“O autenticador de enclave tem como principal função dificultar o roubo de dados privados de passkeys, que seriam um alvo óbvio para malwares se estivessem disponíveis localmente”, destacaram os pesquisadores da Unit 42 ao pontuarem os desafios de isolamento e proteção de chaves mestre em clientes desktop.
Com a chave mestre extraída da memória, o invasor consegue descriptografar todas as passkeys atuais e futuras da vítima. Ele obtém, assim, o controle total e permanente sobre as contas associadas.
Recomendações e mitigação
A Unit 42 pontua que os ataques exigem infecções prévias no endpoint e não expõem vulnerabilidades de execução remota direta sem perda prévia da máquina.
“Os serviços que utilizam autenticação por passkeys devem validar estritamente o sinalizador de verificação de usuário, enquanto os gerenciadores de credenciais precisam endurecer fluxos de recuperação e impedir que segredos mestre alcancem a memória do cliente ou registros de log em texto plano”, recomendaram os especialistas, na análise de segurança.
Por falar em segurança digital e malware, a Microsoft corrigiu falha crítica que permitia sequestro de redes corporativas. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
