برمجيات خبيثة تسرق مفاتيح مرور Google على أنظمة Windows: تفاصيل ثغرة Golden Pass-ta-key

لطالما اعتُبرت مفاتيح المرور الدرع الحصين ضد سرقة بيانات الاعتماد، لكن اكتشافاً جديداً يثبت أنها ليست محصنة تماماً ضد التهديدات المحلية. كشف باحثو الأمن السيبراني في فريق Unit 42 التابع لشركة Palo Alto Networks أن البرمجيات الخبيثة التي تعمل على أجهزة كمبيوتر بنظام Windows يمكنها استغلال ثغرات الثقة في الأجهزة لاختراق مفاتيح المرور المتزامنة داخل مدير كلمات المرور من Google (Google Password Manager).

لا تكسر هذه الثغرة التشفير الأساسي لمفاتيح المرور نفسها. بدلاً من ذلك، تستهدف كيفية تعامل مدير كلمات المرور مع مفاتيح المرور المتزامنة في متصفح Chrome على أجهزة Windows المزودة بوحدة النظام الأساسي الموثوقة (TPM). ونظراً لأن الهجوم يتطلب وجود برمجيات خبيثة نشطة بالفعل على جهاز الضحية، فإنه يسلط الضوء على خلل حرج في ثقة نقطة النهاية بدلاً من كونه اختراقاً عن بُعد لحسابات Google.

حدد فريق Unit 42 ثلاثة مسارات هجوم مختلفة، تتصاعد في خطورتها وتستغل آليات مختلفة للتسجيل والاسترداد:

• هجوم Pass-ta-key: تتيح هذه الطريقة للبرمجيات الخبيثة المصادقة دون تفعيل ميزة Windows Hello أو التحقق البيومتري. ومع ذلك، يقتصر هذا الهجوم على الخدمات التي لا تفرض تحققاً صارماً من المستخدم.
• هجوم Silver Pass-ta-key: يتجاوز هذا الهجوم قيود الطريقة الأولى عبر تسجيل مفتاح تحقق يتحكم فيه المهاجم. وقد أثبت الباحثون نجاح هذه التقنية ضد موقع eBay قبل الإبلاغ عنها بمسؤولية، مما دفع الشركة إلى سد الثغرة.
• هجوم Golden Pass-ta-key: يُعد هذا الاستغلال الأكثر خطورة، حيث يسمح للمهاجمين باستخراج السر الرئيسي الذي يحمي مفاتيح المرور المتزامنة. وبمجرد استرداده، يمكن للبرمجيات الخبيثة فك تشفير كل مفتاح مرور مرتبط بحساب المستخدم. ورغم أن شركة Google أزالت هذا السر من سجلات تصحيح الأخطاء (Debug logs) في متصفح Chrome، يحذر فريق Unit 42 من أنه لا يزال قابلاً للاسترداد من الذاكرة أثناء إعادة تسجيل الجهاز.

نظراً لأن هذه الاستغلالات تعتمد كلياً على تنفيذ البرمجيات الخبيثة محلياً، فإن أمان نقاط النهاية (Endpoint security) هو خط الدفاع الأول لحماية مفاتيح المرور.

• حافظ على نشاط برامج الحماية وأجرِ عمليات فحص دورية لاكتشاف البرمجيات الخبيثة قبل تنفيذها.
• تجنب تنزيل البرامج من مصادر غير موثوقة، حيث يُعد هذا الناقل الأساسي للبرمجيات الخبيثة المطلوبة لتنفيذ هجمات Pass-ta-key.
• احرص على تحديث متصفح Google Chrome ونظام التشغيل Windows لضمان الحصول على أحدث التصحيحات الأمنية المتعلقة بإدارة الذاكرة وسجلات تصحيح الأخطاء.

أمضى قطاع التقنية سنوات في الترويج لمفاتيح المرور كحل سحري للمصادقة، لكن بحث فريق Unit 42 يمثل جرس إنذار ضروري. لقد صمد التشفير بشكل مثالي، ومع ذلك فشل النظام لأنه يثق بطبيعته في الجهاز الذي يعمل عليه. إذا تعرض جهاز كمبيوتر يعمل بنظام Windows للاختراق بواسطة برمجيات خبيثة، فإن نظام المصادقة المبني عليه يصبح مخترقاً بالتبعية.

يكشف هذا الأمر عن فجوة واضحة في كيفية تعامل شركات التقنية الكبرى مع آليات الاسترداد. إن حقيقة إمكانية استخراج السر الرئيسي من الذاكرة أثناء إعادة تسجيل الجهاز، وعدم القدرة على تدويره أو إلغائه بمجرد سرقته، تمثل خللاً معمارياً كبيراً. ومع تزايد الاعتماد على مفاتيح المرور، يجب على شركات مثل Google إعطاء الأولوية لعزل البيئات الآمنة وبروتوكولات الإلغاء القوية، بدلاً من افتراض أن نظام التشغيل المضيف يمثل بيئة آمنة تماماً.