Nuovi attacchi sfruttano vulnerabilità di Google per rubare credenziali

Nuovi attacchi sfruttano vulnerabilità di Google per rubare credenziali

Un gruppo di ricercatori ha scoperto nuovi attacchi che sfruttano le vulnerabilità del sistema di autenticazione senza password di Google, noto come passkey, per permettere a malware già installato su un dispositivo compromesso di rubare credenziali e accedere a account online. I ricercatori di Palo Alto Networks, Unit 42, hanno identificato tre tecniche, denominate “Pass-ta-key”, che permettono a un attaccante di impersonare un dispositivo fidato, registrare una chiave di verifica personalizzata e ottenere la chiave principale utilizzata per crittografare le credenziali. Questi attacchi non compromettono la crittografia dei passkey, ma sfruttano debolezze nella gestione delle credenziali da parte di Chrome e del cloud authenticator di Google.

Rischi per la sicurezza dei passkey

Le credenziali di Google, chiamate passkey, sono considerate più sicure rispetto ai tradizionali password, poiché non possono essere condivise, copiate o scritte giù. Tuttavia, i ricercatori hanno dimostrato che, se un malware è già presente su un dispositivo, può sfruttare le vulnerabilità per ottenere le chiavi private e accedere a account. In particolare, il terzo attacco, denominato “Golden Pass-ta-key”, permette agli attaccanti di ottenere la chiave principale utilizzata per crittografare le credenziali sincronizzate. Questa chiave, nota come security domain secret (SDS), è temporaneamente inviata a Chrome quando un dispositivo si registra o recupera l’accesso a un account. Unit 42 ha spiegato che, se un attaccante riesce a estrarre la SDS direttamente dalla memoria del browser, può decifrare le credenziali e usare le chiavi private per impersonare l’utente.

Le vulnerabilità non sono state completamente risolte, anche se Google ha rimosso la SDS dai log interni. Tuttavia, essa è comunque temporaneamente accessibile nella memoria del browser. Unit 42 ha segnalato le vulnerabilità a Google e a servizi come eBay, che ha risolto il problema dopo la segnalazione. Tuttavia, non è ancora chiaro se le vulnerabilità siano state completamente risolte.

Unit 42 ha raccomandato alle aziende di richiedere e verificare correttamente la verifica dell’utente, un passo essenziale per prevenire attacchi come quelli descritti. Inoltre, i ricercatori hanno sottolineato l’importanza di migliorare i processi di recupero e registrazione dei dispositivi, nonché di evitare che le chiavi principali diventino accessibili nella memoria del browser. Le squadre di sicurezza registrano il 54% degli attacchi riusciti, ma avvisano solo il 14%, il che indica una mancanza di rilevamento efficace. La Picus ha pubblicato un whitepaper che mostra come i test di simulazione di attacchi possano migliorare la rilevazione delle minacce.

Nonostante i passkey siano considerati più sicuri dei password, i ricercatori hanno chiarito che non eliminano i rischi legati al malware già presente su un dispositivo compromesso. Unit 42 ha anche sottolineato che, se un attaccante riesce a ottenere la chiave principale, può usare le credenziali per accedere a account futuri e non solo a quelli già sincronizzati. BleepingComputer ha contattato Google per ulteriori commenti, ma non è stata ricevuta una risposta.