Adiós a la biometría: el malware aprende a eludir las claves de acceso del Gestor de contraseñas de Google

Las contraseñas gradualmente ceden su lugar a las claves de acceso, pero la protección de la cuenta sigue dependiendo de cómo el navegador almacena y verifica los datos asociados. Los especialistas de Unit 42 describieron tres métodos mediante los cuales un programa malicioso en un equipo con Windows ya comprometido podría acceder a cuentas a través de Google Password Manager sin código PIN, sin huella dactilar y sin una solicitud visible en la pantalla.

Los tres métodos funcionan después de la infección del dispositivo y no rompen la criptografía de las claves de acceso. El malware obtiene acceso a los datos locales de Chrome, encuentra información sobre las cuentas y explota particularidades de la reinscripción del dispositivo, del almacenamiento de claves y de la verificación de presencia del usuario.

El primer método, Pass-ta-key, obliga al módulo TPM integrado a firmar la petición del atacante con la clave del dispositivo. El servicio devuelve una confirmación de inicio de sesión válida, pero sin la marca de verificación del usuario. GitHub rechazó tal petición, mientras que eBay la aceptó durante la prueba, pero luego corrigió el proceso de verificación.

Silver Pass-ta-key aprovecha la ventana durante la reinscripción en Chrome. Mientras el navegador no ha creado la nueva clave de verificación del usuario, el malware puede registrar la clave del atacante. Las peticiones firmadas con ella ya contienen la marca requerida y, según Unit 42, permiten iniciar sesión desde otro dispositivo tras la infección inicial.

Golden Pass-ta-key apunta al secreto de 32 bytes llamado Security Domain Secret, que protege las claves de acceso sincronizadas. Durante la reinscripción, el secreto aparece brevemente en la memoria de Chrome en texto claro. Su extracción podría dar acceso a las claves privadas y mantener la capacidad de iniciar sesión desde el entorno del atacante.

No hay indicios de que alguna de estas técnicas se haya usado en ataques reales hasta ahora. En el informe de Unit 42 no hay números CVE, versiones de Chrome vulnerables ni el estado completo de las correcciones. El trabajo se refiere solo a Chrome con Google Password Manager en equipos Windows con TPM, y además el malware ya debe estar operativo en el dispositivo.

Se recomienda a los sitios exigir la verificación del usuario y controlar por separado la marca correspondiente en la respuesta. A los proveedores de almacenes de claves de acceso se les aconseja verificar el origen de nuevas claves, reforzar la reinscripción y no dejar claves maestras en registros ni en memoria. La fuente no especifica si cambiar el código PIN de Google Password Manager ayudaría tras el robo del secreto.