Forscher warnen: Malware kann über Google Password Manager Passkeys stehlen

Sicherheitsforscher haben eine besorgniserregende Angriffsmethode demonstriert, die es bereits auf einem Gerät laufender Malware ermöglicht, Google Password Manager zu kompromittieren und Passkeys zu extrahieren – die moderne, phishing-resistente Alternative zu Passwörtern. Die Technik nutzt keine Schwachstelle im Passwortmanager selbst aus, sondern missbraucht dessen legitime Funktionalität aus einem kompromittierten Betriebssystem heraus, was verdeutlicht, dass selbst starke Authentifizierungsfaktoren abgegriffen werden können, sobald ein Angreifer ausreichende Privilegien erlangt.

Google Password Manager speichert Passkeys in verschlüsselter Form, aber wenn sich ein Benutzer bei einem Dienst authentifiziert, muss der Manager den Passkey entschlüsseln und präsentieren. Forscher fanden heraus, dass Malware mit Benutzerzugriff Code in den Prozess des Browsers injizieren, das entschlüsselte Passkey-Material abfangen und an einen entfernten Server exfiltrieren kann. Da Passkeys an ein bestimmtes Gerät gebunden sind, klont das Stehlen des zugrunde liegenden privaten Schlüssels effektiv die Anmeldedaten und ermöglicht es dem Angreifer, das Opfer bei diesem Dienst von anderer Stelle aus zu impersonieren.

Die Auswirkungen für Website-Betreiber und Unternehmen sind erheblich: Benutzerkonten, die durch Passkeys geschützt sind, können immer noch übernommen werden, wenn das Endgerät des Benutzers infiziert ist. Für Online-Shops, Mitgliederseiten oder jede Plattform, die bei der Benutzerauthentifizierung auf Passkeys setzt, könnte eine einzige erfolgreiche Malware-Infektion auf einem Kundengerät zu Kontobetrug, Datendiebstahl oder unbefugten Transaktionen führen. Obwohl Passkeys beim Widerstand gegen Phishing und Credential Stuffing den Passwörtern weit überlegen sind, sind sie nicht immun gegen lokale Malware.

Google hat die Forschung zur Kenntnis genommen, weist jedoch darauf hin, dass dies eine bekannte Angriffsklasse ist: Wenn das Betriebssystem kompromittiert ist, kann jeder Anmeldedatenmanager ins Visier genommen werden. Dies unterstreicht die Bedeutung der Endpunktsicherheit – die Geräte frei von Malware zu halten, ist die erste Verteidigungslinie. Für Administratoren von WordPress-Sites und anderen Webanwendungen ist die Nachricht eine Erinnerung daran, dass die Sicherheit der Authentifizierung sowohl von der Härtung der Serverseite als auch von der Hygiene der Benutzerseite abhängt. Die Verwendung eines sicheren DNS-Resolvers wie AEU DNS, der bekanntermaßen Malware verbreitende Domains aktiv blockiert, kann eine zusätzliche Verteidigungsschicht gegen die anfänglichen Infektionsvektoren bieten.