VoidStealer научился вытаскивать мастер-ключ Chrome из памяти

VoidStealer научился вытаскивать мастер-ключ Chrome из памяти

VoidStealer научился вытаскивать мастер-ключ Chrome из памяти

Исследователи обнаружили новый опасный вектор, который начали использовать операторы стилера VoidStealer. Этот зловред научился обходить защитный механизм Chrome под названием Application-Bound Encryption (ABE) и получать мастер-ключ, необходимый для расшифровки конфиденциальных данных.

Главное здесь в том, что речь идёт не о старом способе с повышением привилегий или внедрением кода в процесс браузера. Новый подход работает заметно тише.

Вместо этого VoidStealer использует Hardware breakpoints и перехватывает момент, когда ключ v20_master_key ненадолго появляется в памяти браузера в открытом виде.

 

Именно этот ключ используется для шифрования и расшифровки защищённых данных — например, cookie и другой важной информации, которую Chrome хранит локально.

О находке рассказали специалисты Gen Digital — компании, стоящей за брендами Norton, Avast, AVG и Avira. По их данным, это первый известный случай, когда инфостилер, замеченный в реальных атаках, использует такой механизм обхода ABE.

Напомним, Google внедрила Application-Bound Encryption в Chrome 127, который вышел в июне 2024 года. Идея была довольно понятной: сделать так, чтобы мастер-ключ не лежал на диске в доступном виде и его нельзя было просто так извлечь с обычными пользовательскими правами. Для расшифровки ключа должен использоваться сервис Google Chrome Elevation Service, работающий с системными привилегиями и проверяющий, кто именно запрашивает доступ.

На практике эта защита уже не раз становилась целью авторов стилеров. Разные семейства такого зловреда пытались обойти механизм ABE. Google закрывала отдельные лазейки и дорабатывала защиту, но, как показывает случай с VoidStealer, атакующие продолжили искать варианты обхода.

Зловред запускает скрытый процесс браузера в приостановленном состоянии, подключается к нему как отладчик и ждёт загрузки нужной библиотеки — например, chrome.dll или msedge.dll. Затем он ищет в памяти определённую строку и связанную с ней инструкцию, после чего выставляет аппаратную точку.

Дальше остаётся дождаться нужного момента. Во время запуска браузера защищённые cookie загружаются достаточно рано, и в этот момент мастер-ключ должен быть расшифрован. Когда это происходит, VoidStealer срабатывает на установленной точке, получает указатель на ключ в открытом виде и считывает его из памяти через ReadProcessMemory.

 

Иными словами, зловред не ломает защиту «в лоб», а ловит короткий момент, когда сам браузер уже сделал за него всю нужную работу.

В Gen Digital считают, что авторы VoidStealer, скорее всего, не придумали этот метод с нуля. По их оценке, они могли адаптировать технику из открытого проекта ElevationKatz, который входит в набор ChromeKatz и уже больше года демонстрирует слабые места Chrome. Код не совпадает полностью, но сходство реализации выглядит достаточно заметным.

Сам VoidStealer, как отмечают исследователи, продвигается как MaaS-платформа — то есть «зловред как услуга». На теневых форумах его рекламируют как минимум с середины декабря 2025 года, а новый способ обхода ABE появился в версии 2.0.

На Open Conf 2026 UserGate представил новую стратегию развития

На конференции UserGate Open Conf 2026, которая прошла 25 марта в московском кластере «Ломоносов», компания UserGate представила обновлённое видение своего развития. Если коротко, вендор решил говорить о себе уже не просто как о разработчике ИБ-решений, а как о компании, которая хочет стать опорной точкой для построения доверенной сетевой среды.

Как отмечалось на UserGate Open Conf 2026, речь идёт о смене акцента: раньше UserGate воспринимался прежде всего как производитель конкретных продуктов, а теперь в компании делают ставку на более широкую роль — не только поставлять решения, но и выстраивать вокруг них долгосрочное доверие со стороны заказчиков.

В UserGate связывают этот поворот с тем, что сам рынок меняется. Если ещё недавно главным драйвером было импортозамещение как таковое, то теперь, по оценке компании, заказчики всё чаще смотрят не просто на факт «отечественного происхождения», а на то, насколько продукт стабилен, предсказуем и пригоден для долгой эксплуатации в реальной инфраструктуре.

Иначе говоря, бизнесу уже мало просто заменить иностранное решение на российское. Теперь важнее, можно ли на этого поставщика действительно опереться через несколько лет — с точки зрения развития продуктов, поддержки, сервисов и общего качества работы.

В UserGate говорят, что новая стратегия рассчитана на пять лет. За это время компания собирается заметно расширить свой продуктовый портфель, нарастить набор сервисов и подтвердить уровень процессов через сертификацию РБПО ФСТЭК. Отдельный акцент делают на безопасной разработке и на том, что такие изменения требуют перестройки не только продуктовой линейки, но и внутренних процессов.

На конференции также напомнили, что UserGate уже давно работает на рынке сетевой безопасности и за последние годы заметно усилил позиции именно в аппаратном сегменте. По данным самой компании, только за последний год было продано около 4 тысяч аппаратных платформ, а суммарные продажи за всё время превысили 20 тысяч устройств.

Кроме того, UserGate является востребованным производителем NGFW уровня Enterprise. Вендор утверждает, что его решения уже используются примерно в каждой третьей компании из списка РБК-500. Это внутренняя оценка компании, но она хорошо показывает, что хочет закрепиться на рынке не как нишевой игрок, а как поставщик более широкого класса решений и услуг, в том числе созданных для высокопроизводительных систем.

RSS: Новости на портале Anti-Malware.ru