0 
0 Dois recursos de navegador universais e aparentemente inócuos – a capacidade de criar marcadores (também conhecidos como “favoritos”) e sincronização do navegador – facilitam a vida dos usuários, mas também podem permitir que hackers estabeleçam um canal de exfiltração de dados secreto.
Exfiltração de dados por meio de marcadores
Extensões de navegador maliciosas são uma ameaça conhecida e generalizada, usada por invasores para realizar ações como roubar senhas, extrair dados de e-mail ou entregar malware adicional. Alguns invasores também conseguiram recentemente explorar o recurso de sincronização do Chrome e usar uma extensão para conectar seu computador diretamente a uma estação de trabalho direcionada, criando um canal secreto para manipulação remota de dados, mas também (concebivelmente) para exfiltração de dados e comunicação C&C.
Mas o uso de extensões de navegador pode ser restrito em ambientes corporativos, bloqueando esse caminho de acesso específico, então o estudante do SANS Technology Institute, David Prefer, decidiu investigar se os favoritos poderiam ser explorados de maneira semelhante.
Ele descobriu que eles podem e criou um script PoC PowerShell básico para facilitar o processo de exfiltração de dados por meio de marcadores sincronizados.
Codificação e decodificação automatizada dos dados
A pesquisa e os testes da Prefer foram focados em navegadores baseados em Chromium (Chrome, Edge, Brave e Opera), usados coletivamente pela grande maioria dos usuários.
Ele confirmou que a sincronização é acionada por diferentes ações relacionadas aos favoritos (criação, exclusão, etc.) e que os dispositivos remotos geralmente recebem os favoritos sincronizados em questão de segundos. Ele também descobriu o número máximo de caracteres que os campos de nome e URL dos favoritos podem conter para serem sincronizados, bem como o número máximo de favoritos que podem ser sincronizados de uma só vez.
Ele então usou essa informação para criar Brugglemark (o nome é uma junção de “navegador” + “contrabandear” + “marcadores”), um script que codifica o texto fornecido em base64, divide-o em strings menores e cria marcadores do Chrome inserindo-os no arquivo de favoritos local em um formato JSON (com texto fictício nos outros campos de favoritos obrigatórios).
Os dados podem então ser reconstruídos a partir desses marcadores quando forem sincronizados com um sistema remoto.
Liberar o script PoC para o público pode não parecer uma boa ideia para muitos, mas, como Prefer disse ao Help Net Security, existem ferramentas e scripts de ataque muito mais poderosos fornecidos pela comunidade, e um script como Brugglemark pode ser construído trivialmente com base nas informações fornecidas em seu trabalho de pesquisa.
O uso imediato do script também é limitado pelo fato de exigir que o PowerShell 6.0 funcione.
“No Windows, acredito que a versão 5.0 ou 5.1 seja a versão padrão. Não tenho dúvidas de que poderia ser aprimorado para rodar em uma versão inferior, mas, do jeito que está, você teria que instalar o PS 6 ou superior para executar o script”, observou ele.
“Além disso, o Brugglemark só funciona com arquivos de texto simples, pois é apenas uma prova de conceito. Ele falha com documentos do Word e qualquer outro tipo de documento, então algum trabalho teria que ser feito para torná-lo compatível com qualquer outra coisa.”
Não apenas exfiltração de dados
O contrabando de dados de sistemas corporativos por meio de sincronização de favoritos pode ser realizado usando perfis/contas de navegador existentes (comprometidos) ou por invasores criando e fazendo login com sua própria conta. Os favoritos e/ou o perfil do invasor podem ser ocultados da visão dos usuários, criando-os em locais alternativos.
“Mas usar marcadores e sincronização apenas para exfiltração perderia o foco; a sincronização do navegador fornece um canal bidirecional para dados”, observou Prefer.
“Os marcadores podem ser usados para trazer scripts ou ferramentas de ataque para um ambiente, entregar cargas maliciosas ou transferir dados entre sistemas durante o movimento lateral. Eles podem até ser aproveitados para obter uma posição inicial como um ataque de phishing suave em duas etapas. Por exemplo, se um usuário estiver conectado ao navegador no trabalho e usar a mesma conta para entrar em seu computador pessoal em casa, esse computador doméstico fornecerá um caminho para a rede corporativa.”
Os invasores podem, por exemplo, alterar um marcador de um site que a vítima costuma frequentar para apontar para um site de phishing semelhante.
Ações defensivas
Os defensores corporativos podem implementar várias etapas para proteger os sistemas contra o abuso de sincronização do navegador, observou Prefer, incluindo a limitação dos domínios de e-mail autorizados a entrar para sincronização e lista de permissões de aplicativos (para evitar a instalação de compilações não autorizadas e ofensivas do Chromium com uma infraestrutura de sincronização controlada pelo invasor) .
“A ressalva [para esta última abordagem] é que vai dar mais trabalho (provavelmente mais do que vale em comparação com outras técnicas) e também perde o benefício de sincronizar por meio de um domínio aceito como google.com. Ainda assim, achei que deveria mencionar isso como uma possibilidade”, observou ele.
Há também várias coisas que os defensores/caçadores de ameaças podem fazer para descobrir dados que estão sendo exfiltrados dessa maneira: verificar executáveis de navegador não autorizados, procurar solicitações de volume anormais de um único host, procurar perfis de navegador fora dos locais padrão do sistema de arquivos e muito mais .
Por fim, os desenvolvedores de navegadores também podem fazer alterações que impeçam a adulteração externa de marcadores ou definir limites mais restritivos para a opção de sincronização.
FONTE: HELPNET SECURITY