Il malware che sfrutta Google Password Manager può rubare le passkey, avvertono i ricercatori
Una nuova tecnica di attacco consente al malware su un dispositivo di dirottare Google Password Manager e impossessarsi degli account autenticati con passkey, minando la sicurezza degli accessi senza password.
I ricercatori di sicurezza hanno dimostrato un metodo di attacco preoccupante che consente al malware già in esecuzione su un dispositivo di compromettere Google Password Manager ed estrarre le passkey, l'alternativa moderna alle password, resistente al phishing. La tecnica non sfrutta una vulnerabilità del password manager stesso, ma abusa delle sue funzionalità legittime dall'interno di un sistema operativo compromesso, evidenziando che una volta che un attaccante ottiene privilegi sufficienti, anche i fattori di autenticazione forti possono essere sottratti.
Google Password Manager archivia le passkey in forma crittografata, ma quando un utente si autentica a un servizio, il gestore deve decrittografare e presentare la passkey. I ricercatori hanno scoperto che il malware con accesso a livello utente può iniettare codice nel processo del browser, intercettare il materiale della passkey decrittografato ed esfiltrarlo a un server remoto. Poiché le passkey sono legate a un dispositivo specifico, rubare la chiave privata sottostante clona di fatto la credenziale, consentendo all'attaccante di impersonare la vittima su quel servizio da altrove.
Le implicazioni per i proprietari di siti web e le aziende sono significative: gli account utente protetti da passkey possono comunque essere compromessi se il dispositivo dell'utente finale è infetto. Per i negozi online, i siti di abbonamento o qualsiasi piattaforma che si affida alle passkey per l'autenticazione degli utenti, una singola infezione malware riuscita sul dispositivo di un cliente potrebbe portare a frodi sull'account, furto di dati o transazioni non autorizzate. Sebbene le passkey rimangano di gran lunga superiori alle password nel resistere a phishing e credential stuffing, non sono immuni al malware locale.
Google ha riconosciuto la ricerca ma osserva che questa è una classe di attacco nota: se il sistema operativo viene compromesso, qualsiasi gestore di credenziali può essere preso di mira. Ciò sottolinea l'importanza della sicurezza degli endpoint: mantenere i dispositivi liberi da malware è la prima linea di difesa. Per gli amministratori di siti WordPress e altre applicazioni web, la notizia serve a ricordare che la sicurezza dell'autenticazione si basa sia sull'hardening lato server che sull'igiene lato utente. L'uso di un resolver DNS sicuro come AEU DNS che blocca attivamente i domini noti per distribuire malware può aggiungere un ulteriore livello di difesa contro i vettori di infezione iniziali.
Come Proteggerti
- Mantieni aggiornati computer e telefono: installa gli aggiornamenti del sistema operativo e del browser appena disponibili, perché correggono le falle di sicurezza che il malware spesso sfrutta per entrare.
- Fai attenzione a ciò che scarichi: installa solo software ed estensioni del browser da negozi di app ufficiali o siti web affidabili, ed evita di cliccare su link sospetti in email o messaggi.
- Usa un programma antivirus o anti-malware affidabile e tienilo in esecuzione; può rilevare e bloccare il malware prima che abbia la possibilità di rubare le tue passkey.
- Prendi in considerazione l'uso di un servizio DNS sicuro che blocchi i siti web dannosi noti: questo può impedire al tuo dispositivo di connettersi a siti che cercano di diffondere malware.
- Controlla regolarmente le impostazioni di sicurezza del tuo account Google: verifica quali dispositivi hanno effettuato l'accesso e disconnetti quelli che non riconosci. Attiva l'autenticazione a due fattori come livello di backup aggiuntiv