){kind=link}
Pesquisadores de segurança da Unit 42 descobriram um novo malware capaz de entrar nas contas protegidas por passkeys (chaves de acesso) no Windows – sem impressão digital, PIN ou qualquer aviso na tela da vítima. Para isso, a equipe de especialistas mapeou três caminhos que burlam o Google Password Manager do Chrome: Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Este último “nível” é o mais forte, possuindo a chave mestra que protege as credenciais sincronizadas do alvo.
Porém, nenhuma das estratégias diminui a eficácia da criptografia. Elas exploram falhas lógicas ao redor do funcionamento das passkeys e visam a maneira como o navegador armazena chaves de dispositivo, como o sistema registra um aparelho novamente após a remoção de dados anteriores e se o site onde o usuário faz login exige checagens rigorosas de presença humana.
smart_display
Nossos vídeos em destaque
As técnicas conseguem obter de forma silenciosa uma comprovação de login válida, cadastrar uma chave falsa de verificação controlada por criminosos ou extrair a chave mestre de criptografia. Esse é um código interno conhecido como Segredo de Domínio de Segurança, ou SDS, que protege todas as chaves privadas do usuário.
Segundo os pesquisadores, os dois últimos métodos permitem que o invasor continue acessando as contas remotamente dos próprios computadores mesmo após a infecção inicial da máquina da vítima.
Caminhos de exploração e os riscos do ecossistema
O primeiro vetor, Pass-ta-key, retira a chave de identidade do chip de segurança do computador (o TPM) e emprega recursos nativos do Windows para assinar pedidos maliciosos. Embora a assinatura saia sem o sinal de que o usuário realmente aprovou a ação, a Unit 42 descobriu que plataformas online aceitavam a entrada sem exigir essa confirmação. Serviços como o GitHub já bloqueavam a falha.
Segunda técnica, a Silver Pass-ta-key explora o fluxo de reonboarding (o processo de cadastrar o navegador novamente no sistema de nuvem). Ao forçar a reinicialização do registro do aparelho, o malware aproveita uma brecha em que o Chrome deixa o cadastro temporariamente sem travas de segurança para inserir uma chave falsa gerada pelos criminosos, que passam a acessar a conta sem precisar do dispositivo físico da vítima.
O cenário mais crítico é o Golden Pass-ta-key, que ataca diretamente a chave mestre responsável por proteger todas as passkeys da conta. O relatório apontou que esse código secreto ficava visível de forma temporária em arquivos de registro e na memória do navegador durante etapas de recuperação.
)
“O autenticador de enclave tem como principal função dificultar o roubo de dados privados de passkeys, que seriam um alvo óbvio para malwares se estivessem disponíveis localmente”, destacaram os pesquisadores da Unit 42 ao pontuarem os desafios de isolamento e proteção de chaves mestre em clientes desktop.
Com a chave mestre extraída da memória, o invasor consegue descriptografar todas as passkeys atuais e futuras da vítima. Ele obtém, assim, o controle total e permanente sobre as contas associadas.
Recomendações e mitigação
A Unit 42 pontua que os ataques exigem infecções prévias no endpoint e não expõem vulnerabilidades de execução remota direta sem perda prévia da máquina.
“Os serviços que utilizam autenticação por passkeys devem validar estritamente o sinalizador de verificação de usuário, enquanto os gerenciadores de credenciais precisam endurecer fluxos de recuperação e impedir que segredos mestre alcancem a memória do cliente ou registros de log em texto plano”, recomendaram os especialistas, na análise de segurança.
Por falar em segurança digital e malware, a Microsoft corrigiu falha crítica que permitia sequestro de redes corporativas. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.