// TOM'S HARDWARE ITALIA — CRONACA
Una tecnica dirotta le sessioni aperte di Chrome ed Edge su Windows
I ricercatori di SpecterOps hanno reso pubblico CDP-Enable-BOF, uno strumento che attiva il server di debugging di Chrome DevTools dall'interno di un processo del browser già aperto su Windows. Un attaccante presente sul sistema può così esporre il contesto autenticato di Chrome o Edge attraverso una porta CDP, senza sfruttare una vulnerabilità di sicurezza del browser.
La tecnica presuppone che l'operatore disponga già dell'esecuzione di codice sul computer e di accessi sufficienti per manipolare il processo interessato. Si tratta quindi di uno scenario di post-compromissione più circoscritto rispetto a una falla sfruttabile da remoto: il metodo non permette di violare autonomamente un PC, ma amplia le possibilità di azione dopo l'accesso iniziale.
A partire da Chrome 136, il browser ignora i parametri --remote-debugging-port e --remote-debugging-pipe quando puntano alla cartella dati predefinita. Per abilitarli è necessario specificare una directory differente tramite --user-data-dir, che utilizza anche una diversa chiave di cifratura. CDP-Enable-BOF evita questo percorso perché abilita il server di debug direttamente nel processo esistente, mantenendo il contesto della sessione già attiva.
Il BOF a 64 bit interviene su un processo Chrome ed Edge in esecuzione e rende raggiungibile il relativo endpoint CDP sulla porta richiesta. La logica degli strumenti che sfruttano componenti legittimi dopo l'accesso iniziale è emersa anche nelle campagne che aggirano le difese di Windows tramite la modalità provvisoria: in questo caso, però, il bersaglio è il browser con la sua sessione autenticata.
Una volta disponibile l'endpoint, CDP-Toolkit può comunicare direttamente con il browser oppure automatizzarne le superfici WebUI interne. Operare nel contesto già autenticato consente di aggirare alcune protezioni concepite per impedire il riutilizzo dei dati su un dispositivo differente. La documentazione pubblica non descrive, invece, l'estrazione della chiave privata impiegata dal browser.
Per individuare l'attività, gli amministratori possono monitorare le iniezioni di processo dirette a chrome.exe e msedge.exe. In particolare, Sysmon Event ID 8 registra la creazione di un thread remoto all'interno di un altro processo, mentre Event ID 10 rileva quando un processo apre un altro processo. Il secondo evento può generare molti log e richiede filtri capaci di escludere le operazioni previste nell'ambiente.
Il progetto richiede un browser già avviato ed è limitato ai sistemi x64. Le firme incluse risultano testate con Chrome 147.0.7727.102 ed Edge 147.0.3912.98 e sono specifiche per versione; il repository offre script per ricavarne di nuove quando gli aggiornamenti modificano la risoluzione dei simboli. Non è però stabilito che funzionino senza modifiche sulle release successive, né se i privilegi di amministratore siano indispensabili in ogni configurazione.
Aggiungi Tom's Hardware alle tue fonti preferite su Google