Novo ataque explora gerenciador de senhas do Chrome no Windows
Pesquisadores da Unit 42 identificaram três técnicas capazes de burlar a proteção por passkeys no gerenciador de senhas do Chrome, permitindo que softwares maliciosos acessem contas sem validação do usuário.
Por Redação tech & talk · Curadoria assistida por IA, revisão humana
Três técnicas contornam passkeys no Chrome
Pesquisadores da Unit 42, unidade de inteligência de ameaças da Palo Alto Networks, descobriram três novas técnicas de ataque capazes de burlar a proteção por passkeys no gerenciador de senhas do Google Chrome em computadores com Windows. Batizadas coletivamente de Pass-ta-key, as técnicas permitem que softwares maliciosos acessem contas protegidas sem exigir validação biométrica ou PIN do usuário.
Como funciona o ataque
Foto: reprodução/bleepingcomputer.com
As três variantes exigem que o dispositivo Windows já esteja infectado por malware — nenhuma delas quebra a criptografia das passkeys, mas exploram falhas na forma como o Chrome e o autenticador em nuvem do Google lidam com confiança de dispositivo, cadastro, recuperação e sincronização de credenciais.
Na técnica batizada de Pass-ta-key, o malware extrai a chave de identidade do dispositivo e solicita diretamente ao Módulo de Plataforma Confiável (TPM) a assinatura de requisições de acesso, sem interação do usuário.
Já a Silver Pass-ta-key força o Chrome a recadastrar o dispositivo, permitindo que o atacante registre uma chave de verificação sob seu próprio controle — o que garante acesso persistente à conta.
A técnica mais grave, Golden Pass-ta-key, extrai da memória do navegador o chamado segredo de domínio de segurança (SDS), uma chave de 32 bytes que funciona como chave mestra. Com ela, o invasor consegue descriptografar todas as passkeys sincronizadas na conta, incluindo credenciais futuras geradas no mesmo login.
Reação das empresas
Durante os testes de prova de conceito, a resposta das plataformas variou. O GitHub bloqueou a tentativa de acesso ao aplicar uma camada extra de verificação. Já o eBay aceitou a autenticação indevida até ser notificado e corrigir a falha. O Google, por sua vez, removeu a exibição do segredo nos registros do padrão FIDO, dificultando a extração pelos atacantes.
O que fazer
Como as três técnicas dependem de um malware já instalado no computador, a principal defesa continua sendo a prevenção contra infecções: manter o Windows e o Chrome atualizados, evitar downloads de fontes não confiáveis e usar soluções antivírus atualizadas. Passkeys continuam sendo consideradas mais seguras que senhas tradicionais, mas o caso mostra que a segurança de um sistema de autenticação também depende da integridade do dispositivo em que ele roda.