VoidStealer aggira la cifratura di Chrome attaccando la memoria

VoidStealer bypassa App-Bound Encryption di Chrome estraendo la chiave master dalla memoria durante la decifratura. Il malware MaaS, attivo dal marzo 2026, sfrutta

VoidStealer, infostealer attivo dal marzo 2026 secondo quanto documentato da Kaspersky, aggira App-Bound Encryption (ABE) di Google Chrome e altri browser Chromium senza escalation di privilegi né injection di codice. Il malware si attacca al processo del browser come debugger legittimo, intercetta il momento esatto della decifratura ed estrae la chiave master in plaintext dalla memoria volatile durante la breve finestra di esposizione. La tecnica, resa accessibile anche a operatori non tecnici attraverso un modello Malware-as-a-Service, inverte l'assunto difensivo su cui Google aveva costruito ABE: rendere il furto dei dati più rumoroso e costoso.

Punti chiave

VoidStealer è emerso nel marzo 2026 e opera come Malware-as-a-Service, abbassando la soglia di accesso per criminali non specializzati.
Il bypass di App-Bound Encryption non attacca la crittografia ma il processo di decifratura, estraendo la chiave master dalla memoria durante l'esecuzione legittima del browser.
L'attacco sfrutta API di debugging del sistema operativo, considerate legittime e non segnalate come sospese dai tradizionali strumenti EDR.
La tecnica è efficace su tutti i browser basati su Chromium, inclusi Microsoft Edge, Opera, Vivaldi e Brave.

Il meccanismo dell'inganno: quando la decifratura diventa vulnerabilità

Google ha introdotto App-Bound Encryption in Chrome 127 nel luglio 2024 secondo quanto documentato nel Google Security Blog. Il meccanismo lega la crittografia dei cookie e delle password salvate a un'identità applicativa specifica del browser, rendendo teoricamente necessaria l'escalation a privilegi di sistema o l'injection diretta di codice nel processo di Chrome per accedere ai dati protetti.

Come ha riportato la ricercatrice di Kaspersky Alanna Titterington a Dark Reading, gli architetti di ABE avevano modellato la minaccia su due vettori principali: elevazione dei privilegi a livello system oppure iniezione di codice malevolo nel processo del browser. Entrambi gli scenari, nelle intenzioni progettuali, avrebbero dovuto generare segnali di allarme rilevabili da strumenti di sicurezza endpoint o comunque richiedere competenze avanzate.

VoidStealer segue un percorso completamente diverso. Il malware si registra come debugger legittimo del processo Chromium, un'operazione che non richiede privilegi elevati né viene considerata sospetta dai sistemi di rilevazione. Identifica quindi il punto preciso dell'esecuzione in cui Chrome decifra i dati sensibili, imposta un breakpoint su quella istruzione e attende che il processo raggiunga la pausa programmata.

In quel momento, la chiave master risiede in plaintext nella memoria volatile del processo. VoidStealer la estrae in quella finestra temporale, prima che l'esecuzione riprenda e la chiave torni a essere accessibile solo attraverso il canale crittografico protetto. Secondo Cybersecurity News, che ha corroborato l'analisi di Kaspersky, l'attacco è silenzioso e non produce allarmi visibili per l'utente.

"Chrome exposes the master key in plaintext in browser memory; VoidStealer authors figured out a way to take advantage of that brief window of opportunity"
— Dark Reading, riportando analisi Kaspersky

Il paradosso delle API legittime come arma

La scelta tecnica di VoidStealer solleva una questione strutturale nella progettazione delle difese perimetrali. Le API di debugging del sistema operativo sono strumenti legittimi, utilizzati quotidianamente da sviluppatori e amministratori di sistema per diagnosticare comportamenti anomali delle applicazioni. Il loro abuso come vettore di attacco sfrutta una zona grigia: l'operazione è formalmente autorizzata, non richiede compromissione di altri componenti del sistema e non presenta le firme comportamentali tipiche del malware.

La fonte non specifica se la tecnica richieda condizioni particolari di accesso al sistema, né è quantificato il numero di infezioni rilevate. Resta inoltre non confermato se Google abbia rilasciato o pianifichi patch in grado di mitigare questo specifico vettore senza compromettere le funzionalità di debugging legittime.

MaaS: la democrazia del furto di dati

La distribuzione di VoidStealer secondo modello Malware-as-a-Service, documentata da Cybersecurity News, rappresenta un moltiplicatore di rischio separato dalla tecnica stessa. L'architettura commerciale del malware permette ad acquirenti senza competenze tecniche di operare campagne di furto dati a larga scala, delegando lo sviluppo e la manutenzione del codice a fornitori specializzati.

Il dossier non specifica il prezzo o la struttura tariffaria del servizio, né è documentato il numero di clienti o il volume di dati esfiltrati attraverso la piattaforma. La presenza del modello MaaS tuttavia conferma che il bypass di ABE non è più confinato a un'elite di attaccanti sofisticati, ma è diventato una commodity accessibile sul mercato criminale.

Cosa fare adesso

Verificare con il vendor del proprio browser se siano disponibili aggiornamenti che affrontino il vettore di attacco tramite debugger, e applicarli tempestivamente alla loro uscita.
Rivedere le politiche di gestione delle password salvate nel browser, considerando l'uso di gestori dedicati con architettura di sicurezza indipendente dalla memoria del processo del browser.
Valutare la configurazione degli strumenti EDR per rilevare attività di debugging su processi del browser anche quando originate da API legittime del sistema operativo.
Ridurre la superficie di esposizione rimuovendo credenziali e token di autenticazione memorizzati nei browser aziendali sui sistemi con accesso a dati critici.

La memoria come ultima frontiera della sicurezza

VoidStealer non è un caso isolato ma un campione di una categoria in espansione: attacchi che non violano la crittografia ma ne intercettano l'uso. La vulnerabilità non risiede nell'algoritmo ma nel momento dell'operazione, quando i dati devono per forza risiedere in forma decifrata per essere utilizzati. Questa constatazione non indebolisce il valore di ABE come meccanismo difensivo, ma ne delinea i limiti architetturali: una cifratura perimetrale, per quanto robusta, non protegge ciò che è inevitabilmente esposto durante l'elaborazione.

Per le aziende che hanno investito sulla protezione dei dati del browser come anello debole della catena di autenticazione, il messaggio è chiaro: la sicurezza della memoria volatile durante l'uso è diventata prioritaria quanto la sicurezza dei dati a riposo. La linea di difesa successiva, se esiste, non può più essere demandata alla sola crittografia applicativa.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti