新たな攻撃手法により、マルウェアがパスキー保護アカウントを乗っ取ることが判明

Palo Alto Networksの研究者は、パスワードレス認証を狙う新たな攻撃手法の詳細を公表し、マルウェアがパスキーで保護されたアカウントをどのように乗っ取れるかを示しました。

パスキーは大手テック企業による採用が進んでおり、フィッシング攻撃に対する耐性の高さから広く推奨されています。

Palo Alto Networksが「Pass-ta-key」と名付けたこの新たな攻撃手法は、Googleが同期するパスキーを標的としています。同社の研究者は、権限昇格やユーザー操作を必要とせずに、この手法を使って攻撃者がアカウントを乗っ取れることを実証しました。

Pass-ta-key攻撃では、Chromeを実行しているWindowsマシンにすでに存在するマルウェアが、ブラウザのローカル同期データベースを調べ、ユーザーがパスキーで保護しているオンラインアカウントと、それに紐づくユーザー名や暗号化された認証情報を特定します。

このマルウェアは、Chromeがディスクまたはメモリ内に保存しているデバイスIDキーを復元します。そのうえでWindowsの暗号化APIを使い、生体認証プロンプトやデバイスのロック解除、権限昇格を一切必要とせずに、Googleのクラウド認証サービスから受け取ったチャレンジに対する署名を生成します。

クラウド側のサービスは、この署名済みリクエストを正規の信頼済みデバイスからのものとして扱います。そして有効な認証アサーションを返し、攻撃者はそれを標的のウェブサイトに転送してログインを完了させます。

「Silver Pass-ta-key」と呼ばれるより高度な派生型では、マルウェアがChromeに強制的にデバイス再登録プロセスを実行させます。この過程で生じる短い時間帯を狙い、マルウェアは自身のユーザー確認キーをクラウド認証サービスに登録します。この登録が完了すれば、攻撃者はまったく別のマシンから後日認証を行えるようになります。

最も深刻な手法である「Golden Pass-ta-key」は、再登録の過程でChromeのプロセスメモリ上に一時的に現れるマスターシークレットを抽出します。このシークレットを入手すれば、マルウェアはそのアカウントに紐づく同期済みパスキーの秘密鍵をすべて復号でき、さらに今後生成されるパスキーについても攻撃者が復号できるようになります。

Googleにはすでに通知済みで、Palo Alto Networksのブログ記事によると、Google側はいくつかの緩和策をすでに展開しているとのことです。