Pesquisadores de cibersegurança detalharam uma técnica de pós-exploração que ativa o Protocolo Chrome DevTools (CDP, na sigla em inglês) dentro de um processo do Google Chrome ou do Microsoft Edge em execução no Windows, permitindo a um operador acessar cookies, dados salvos e sessões autenticadas no navegador.
A técnica parte do princípio de que o operador já possui execução de código no host Windows e não envolve a exploração de uma vulnerabilidade de segurança do Chrome ou do Edge.
A necessidade de execução prévia de código e de acesso suficiente para manipular o processo-alvo coloca a técnica em um cenário de pós-comprometimento mais restrito do que o de uma falha de navegador explorável remotamente.
A SpecterOps afirmou que os defensores podem procurar indícios de injeção de processo contra os executáveis chrome.exe e msedge.exe usando os IDs de evento 8 e 10 do Sysmon (ferramenta de monitoramento do sistema da Microsoft).
"Desde que a App-Bound Encryption (Criptografia Vinculada ao Aplicativo) foi habilitada, observamos um aumento no uso do Chrome Remote Debugging (Depuração Remota do Chrome) para extrair cookies", disse o Google em um publicação de março de 2025.
O Google alterou o comportamento da depuração remota do Chrome a partir da versão 136, após observar um aumento no uso do Chrome Remote Debugging para extrair cookies depois da introdução da App-Bound Encryption (ABE). A empresa disse que o roubo de cookies usando a interface de depuração já era discutido desde 2018.
O Chrome 136 ignora os parâmetros --remote-debugging-port e --remote-debugging-pipe quando eles apontam para o diretório de dados padrão do Chrome, a menos que sejam acompanhados por um --user-data-dir fora do padrão. O diretório de dados não padrão utiliza uma chave de criptografia diferente, que, segundo o Google, protege os dados do Chrome contra atacantes.
De acordo com a SpecterOps, a ferramenta CDP-Enable-BOF adota um caminho diferente ao ativar o servidor de depuração de dentro de um processo chrome.exe ou msedge.exe já existente. O BOF (Beacon Object File, arquivo-objeto usado em operações pós-exploração) em arquitetura x64, em seguida, expõe o contexto existente do navegador por uma porta CDP solicitada.
CDP dentro do navegador em execução
O BOF se baseia em trabalho anterior de DeathFlamingo, que documentou a injeção do CDP em um navegador Edge em execução em dezembro de 2025, e na pesquisa "Modern Session Hijacking by Living off the DevTools Protocol" (Sequestro moderno de sessão vivendo do Protocolo DevTools), de Cedric Van Bockhaven. Ambos são citados no repositório como основа do projeto.
Em linhas gerais, a ferramenta CDP-Enable-BOF executa as seguintes etapas:
- Localiza o processo em execução do Chrome ou do Edge solicitado e sua janela de nível superior.
- Encontra o módulo carregado chrome.dll ou msedge.dll.
- Resolve símbolos internos do Chromium usando assinaturas de bytes mascaradas.
- Aloca memória remota para dois pequenos stubs e um bloco de contexto.
- Instala temporariamente um procedimento de janela remoto.
- Executa a chamada final na thread de interface do usuário do navegador.
- Chama a função interna StartRemoteDebuggingServer do Chromium na porta solicitada.
O repositório informa que a execução da chamada final na thread de interface do usuário do navegador é usada para tornar a técnica confiável diante de mecanismos de proteção como CFG (Control Flow Guard, proteção contra desvio de fluxo), TLS (Thread Local Storage) e CET (Control-flow Enforcement Technology, tecnologia de aplicação de fluxo de controle). O BOF requer um processo de navegador em execução e é limitado a sistemas x64.
O repositório público não informa se direitos de administrador são necessários em todos os casos.
O The Hacker News entrou em contato com a SpecterOps para esclarecer os requisitos de privilégio e a compatibilidade com versões atuais do navegador e atualizará esta reportagem com qualquer resposta.
Tomada de controle do navegador via CDP
Com o endpoint disponível, a CDP-Toolkit da SpecterOps pode interagir com o navegador diretamente ou automatizar suas superfícies internas de WebUI. Os principais fluxos de pós-exploração são listados a seguir:
- Coleta de cookies: utiliza o comando Storage.getCookies para requisitar o estado de cookies do navegador sem ler o banco de dados de cookies em disco.
- Coleta de dados do navegador: pode obter histórico, favoritos, extensões instaladas, capturas de tela e metadados de senhas salvas por meio do CDP e de páginas renderizadas pelo navegador.
- Recuperação de senhas salvas: pode acionar o fluxo de preenchimento automático do Chromium contra uma origem correspondente e ler os valores resultantes dos campos de nome de usuário e senha via CDP.
- Tomada de controle do navegador: pode criar um destino de navegador em segundo plano ou fora da tela para transmissão interativa, ou ainda proxyar requisições HTTP e HTTPS por meio de destinos de navegador que carregam o estado autenticado da vítima.
O modo de transmissão deixa cookies, armazenamento do navegador, estado de autenticação corporativa, comportamento do WebAuthn (Web Authentication, padrão de autenticação web), extensões e comportamento de JavaScript específico do navegador dentro da instância do Chrome ou do Edge em execução no sistema comprometido.
O modo proxy encaminha requisições upstream por destinos de navegador que carregam o estado autenticado da vítima no endpoint comprometido, preservando cookies e o user agent do navegador nas situações em que o CDP os expõe.
O Device Bound Session Credentials (DBSC) do Google, que ficou disponível para usuários do Windows com o Chrome 146, vincula a atualização de sessões a uma chave protegida por hardware e foi projetado para impedir que cookies roubados sejam renovados em outro dispositivo.
A SpecterOps não descreve a extração dessa chave privada. A empresa afirmou que operar dentro do contexto autenticado do navegador pode contornar proteções pensadas para evitar a reprodução fora do dispositivo.
Detecção e limites de versão
A documentação do Sysmon da Microsoft identifica o Event ID 8 como CreateRemoteThread, que registra quando um processo cria uma thread em outro processo, e o Event ID 10 como ProcessAccess, que registra quando um processo abre outro.
A Microsoft observa que o Event ID 8 pode indicar injeção de código, enquanto o ProcessAccess pode gerar um volume significativo de registros e, em geral, deve ser usado com filtros que removam a atividade esperada.
O The Hacker News confirmou via GitHub, em 14 de agosto, que o BOF público ainda lista o Chrome 147.0.7727.102 e o Edge 147.0.3912.98 como versões testadas e descreve as assinaturas como específicas de versão.
Versões posteriores dos navegadores documentadas pelo Google e pela Microsoft incluem:
- Chrome: o repositório lista 147.0.7727.102 como testada. O Google moveu o Chrome 151.0.7922.47/.48 para o Early Stable (canal de pré-lançamento estável) para uma pequena porcentagem de usuários de Windows e macOS em 22 de julho.
- Edge: o repositório lista 147.0.3912.98 como testada. As notas de versão do canal Stable da Microsoft listam o 151.0.4129.78, lançado em 10 de agosto, como o build Stable mais recente até 14 de agosto.
O repositório oferece scripts para derivar novas assinaturas quando atualizações do navegador fazem a resolução de símbolos falhar, mas não garante que as assinaturas incluídas continuem funcionando inalteradas em lançamentos posteriores.
O desenvolvimento ocorre um dia após a divulgação do AmnesiaStealer, voltado a usuários de macOS, com um stream_module que dá a um operador controle interativo oculto sobre um navegador baseado em Chromium.
O Jamf Threat Labs afirmou que o componente oferece suporte a teclado, mouse, rolagem, navegação e gerenciamento de abas por meio do CDP, e que exportou cookies em texto puro durante sua análise, enquanto a pesquisa da SpecterOps no Windows ativa o CDP dentro do processo do Chrome ou do Edge da vítima que já está em execução.
