Недавно Google опубликовала блог об обнаружении кражи данных из браузера с помощью журналов событий Windows.
В этом посте есть несколько полезных советов для защитников о том, как обнаружить неправомерное использование вызовов DPAPI, пытающихся захватить конфиденциальные данные браузера.
Но как насчет функции удаленной отладки?
Это заставило меня пересмотреть состояние функции удаленной отладки браузеров для захвата конфиденциальной информации, включая файлы cookie.
В прошлом мы обсуждали методы кражи файлов cookie, даже выступали с докладом на CCC около 5 с лишним лет назад и помогли добавить TTP в матрицу MITRE ATT&CK.
Итак, насколько сложно в 2024 году вредоносному ПО перехватить файлы cookie, используя технику удаленной отладки?
tl;dr
Ситуация практически не изменилась по сравнению с тем, что было несколько лет назад. Антивирусы и EDR по умолчанию не помогают справиться с этой техникой кражи файлов cookie.
Защитникам приходится создавать собственные правила обнаружения и искать такие вещи, как процессы, запускающие браузер через --remote-debug-port, отфильтровывать "шум" и т. д.
Давайте вернемся к этой технике, чтобы повысить нашу осведомленность.
Краткое пересказ - Обзор
Вот основные этапы происходящего:
Вредоносное ПО запускается на машине пользователя
Вредоносная программа запускает браузер с включенной функцией удаленной отладки (в данном случае мы будем рассматривать браузеры на базе Chromium, но и другие имеют аналогичные возможности).
Вредоносное ПО подключается к порту отладки
Вредоносная программа обращается к API, и злоумышленник скачивает все cookies или удаленно управляет браузером
Злоумышленник использует cookie-файлы и получает доступ к ресурсам Примечание: Эта специфическая техника использования порта удаленной отладки была первоначально описана @mangopdf как "Преступления с куки" для Chrome.
Технические детали
На этот раз я решил переделать все в PowerShell, а для написания большей части кода использовал ChatGPT. Вы можете найти скрипт в приложении. Оказалось, что ChatGPT неплохо справляется с написанием вредоносных программ.
Интересные статьи
Интересные статьи
